Политика обработки персональных данных

1. Оператор персональных данных

1.1. Оператором персональных данных (далее – Оператор) является самозанятый гражданин – плательщик налога на профессиональный доход (НПД): Колесниченко Дмитрий Петрович, ИНН 500801708180. Адрес электронной почты по всем вопросам, связанным с обработкой персональных данных: support@neprostye.ru.

1.2. Оператор осуществляет обработку персональных данных пользователей сайта neprostye.ru (далее – Сайт), включая личный кабинет «Моя полка», страницы книг, формы оформления заказов и формы отзывов, размещённые на Сайте. Политика действует в отношении всей информации, которую Оператор может получить о субъекте персональных данных при использовании им Сайта, приобретении цифровых книг и аудиокниг, обращении в службу поддержки, а также при направлении отзывов и иных взаимодействиях, прямо предусмотренных функционалом Сайта.

1.3. Оператор обязан до начала обработки персональных данных уведомить уполномоченный орган по защите прав субъектов персональных данных – Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) – в порядке статьи 22 Закона № 152-ФЗ. Такое уведомление для Оператора обязательно: исключения части 2 статьи 22 Закона № 152-ФЗ в действующей редакции (только пункты 7, 8 и 9 – государственные информационные системы, обработка исключительно без средств автоматизации, транспортная безопасность) к обработке данных через Сайт не применимы. При сборе персональных данных, в том числе через сеть «Интернет», запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами территории Российской Федерации, не допускаются (часть 5 статьи 18 Закона № 152-ФЗ в редакции Федерального закона от 28.02.2025 № 23-ФЗ). База данных Оператора расположена на территории Российской Федерации: виртуальный сервер (VPS) в г. Москве, центр обработки данных DataPro, инфраструктура хостинг-провайдера HOSTKEY; зарубежные базы данных при сборе данных не используются. Настоящая Политика опубликована на страницах Сайта, с использованием которых осуществляется сбор персональных данных, в соответствии с частью 2 статьи 18.1 Закона № 152-ФЗ, и доступна по постоянному адресу /legal/privacy/.

1.4. Использование Сайта, оформление заказа, запрос одноразового кода для входа в личный кабинет и отправка отзыва означают, что пользователь ознакомился с настоящей Политикой. В случаях, когда обработка персональных данных осуществляется на основании согласия субъекта, такое согласие предоставляется в порядке, описанном в разделе 5 настоящей Политики и в отдельном документе – Согласии на обработку персональных данных, размещённом по адресу /legal/consent/. Условия предоставления доступа к цифровому контенту регулируются Публичной офертой, размещённой по адресу /legal/oferta/.

2. Термины и определения

2.1. В настоящей Политике используются термины в значениях, установленных статьёй 3 Закона № 152-ФЗ. Персональные данные – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Обработка персональных данных – любое действие или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

2.2. Оператор – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия, совершаемые с персональными данными. В контексте настоящей Политики Оператором является самозанятый гражданин, указанный в разделе 1, который определяет цели и состав обрабатываемых данных на Сайте.

2.3. Субъект персональных данных – физическое лицо, к которому относятся персональные данные. Пользователь Сайта – любое физическое лицо, посещающее Сайт, просматривающее его страницы, оформляющее заказ, использующее личный кабинет или направляющее отзыв. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств; для Сайта такой системой является программный комплекс на базе PocketBase, развёрнутый на виртуальном сервере Оператора.

2.4. Блокирование персональных данных – временное прекращение обработки персональных данных, за исключением случаев, когда обработка необходима для уточнения персональных данных. Обезличивание – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределённому кругу лиц; Оператор не осуществляет распространение персональных данных, за исключением публикации отзывов в объёме, на который субъект дал отдельное согласие и который описан в разделах 3 и 4 настоящей Политики. Трансграничная передача – передача персональных данных на территорию иностранного государства; такая передача Оператором не осуществляется, о чём подробно сказано в разделе 11.

2.5. Cookie – небольшие текстовые файлы, сохраняемые браузером пользователя, а также аналогичные технологии локального хранилища браузера (localStorage), используемые Сайтом исключительно в технических целях. Подробное описание применяемых cookie и записей localStorage, их назначения и сроков хранения приведено в Политике использования cookie по адресу /legal/cookies/, которая является неотъемлемой частью настоящей Политики в части технических данных.

3. Категории субъектов и категории обрабатываемых персональных данных

3.1. Оператор обрабатывает персональные данные следующих категорий субъектов: (а) покупатели – физические лица, оформляющие и оплачивающие заказы на цифровые книги и аудиокниги на Сайте; (б) посетители Сайта – физические лица, просматривающие страницы Сайта без оформления заказа и без входа в личный кабинет; (в) авторы отзывов – физические лица, направляющие отзывы, оценки и вопросы автору через формы на страницах книг, независимо от того, являются ли они покупателями конкретной книги; (г) лица, обращающиеся в службу поддержки по электронной почте, в объёме данных, содержащихся в их обращениях.

3.2. В отношении покупателей Оператор обрабатывает следующие категории персональных данных: адрес электронной почты (e-mail), указанный при оформлении заказа и используемый как единственный идентификатор покупателя и как логин для доступа в личный кабинет; данные заказов, включая состав заказа (наименования и идентификаторы приобретённых книг и выбранных пакетов – текст, аудио или комбинированный пакет), применённую скидку, итоговую сумму заказа, дату и время создания заказа, статус заказа (в информационной системе используются только значения: «ожидает оплаты», «оплачен», «отменён»), идентификатор платежа в платёжной системе, наименование использованной платёжной системы (ЮKassa или Робокасса) и служебные отметки о формировании чека налога на профессиональный доход; прогресс чтения и прослушивания, включая идентификатор книги, номер текущей главы, позицию прослушивания в секундах, тип контента (текст или аудио) и время последнего обновления прогресса; служебные записи о предоставлении доступа к файлам. Отдельная запись о дате и времени каждого запроса одноразового кода и о факте успешной авторизации Оператором не ведётся: сохраняются только счётчики ограничения частоты запросов (раздел 3.3, срок – один час) и служебные даты создания и обновления записи пользователя. При каждом скачивании файла книги в журнал скачиваний (коллекция download_log) записываются: идентификатор пользователя, адрес электронной почты, идентификатор книги, выбранный формат файла и идентификатор заказа; цели этого журнала – обеспечение безопасности, подтверждение факта предоставления доступа к оплаченному контенту, разрешение споров о предоставлении доступа и защита исключительных прав автора. Адрес электронной почты также включается в персональную лицензионную метку, которая встраивается только в файлы книг в формате FB2; эта метка видна только самому покупателю в его личном файле и используется исключительно для защиты исключительных прав автора от незаконного распространения копий, при этом метка не публикуется на Сайте и не передаётся третьим лицам в открытом виде. Для иных форматов (EPUB, MOBI, PDF, MP3, M4B) метка в файл не встраивается: доступ к ним персонализирован через личный кабинет покупателя и журнал скачиваний.

3.3. В отношении посетителей Сайта Оператор обрабатывает только технические данные, которые автоматически передаются устройством и браузером посетителя при обращении к Сайту и фиксируются в журналах веб-сервера и в записях системы ограничения частоты запросов: IP-адрес, дата и время обращения, адрес запрошенной страницы, код ответа сервера, объём переданных данных, сведения о браузере и операционной системе в объёме строки User-Agent, а также записи локального хранилища браузера, перечисленные в Политике использования cookie (собственные cookie Сайт не устанавливает). Журналы доступа веб-сервера Caddy (access-логи) хранятся 14 суток, после чего удаляются при ротации. Система ограничения частоты запросов (коллекция rate_limits) хранит ключи, содержащие IP-адрес или адрес электронной почты в открытом виде в сочетании с типом операции (например, оформление заказа, запрос кода входа, отправка отзыва), счётчик обращений и начало окна; записи этой коллекции автоматически удаляются по истечении одного часа. Эти данные используются только для обеспечения работоспособности и безопасности Сайта, защиты от спама, автоматизированных атак и злоупотреблений, а также для ограничения частоты запросов к чувствительным операциям, таким как запрос кода входа и оформление заказа; профилирование посетителей, рекламное отслеживание и построение поведенческих профилей на основании технических данных Оператором не осуществляются. Если посетитель дал согласие на аналитику (кнопка «Разрешить» в плашке согласия), дополнительно обрабатываются данные Яндекс.Метрики: cookie с префиксом _ym и идентификатор посетителя, IP-адрес, сведения о браузере, операционной системе и устройстве, адрес страницы и источник перехода, дата и время визита, действия на Сайте (просмотры, клики, прокрутка) и записи сеансов Вебвизора без содержимого полей ввода. Без согласия эти данные не собираются.

3.4. В отношении авторов отзывов Оператор обрабатывает: имя или псевдоним, добровольно указанные автором в форме отзыва и предназначенные для публикации рядом с отзывом; адрес электронной почты, который не публикуется и используется только для верификации факта покупки книги и для связи по вопросам модерации; содержимое отзыва, включая текст отзыва, выставленную оценку от одного до пяти, указание на эмоциональное состояние или главу книги, которые отозвались сильнее всего, если автор добровольно заполнил соответствующее поле; служебные признаки отзыва, включая отметку «Подтверждённый читатель» при совпадении адреса электронной почты автора отзыва с адресом оплаченного заказа на соответствующую книгу, дату и время отправки отзыва, а также результат премодерации (отзыв ожидает проверки, опубликован, отклонён). Ответ автора книг на отзыв, публикуемый рядом с отзывом, персональными данными автора отзыва не является и обрабатывается как редакционный контент Сайта.

3.5. Оператор прямо указывает, что специальные категории персональных данных, касающиеся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, в соответствии со статьёй 10 Закона № 152-ФЗ Оператором не обрабатываются и не должны указываться пользователями в отзывах, обращениях и иных формах Сайта; если такие сведения будут добровольно включены пользователем в свободный текст отзыва или обращения, Оператор вправе удалить их при модерации или при обработке обращения и не использует их для каких-либо целей. Биометрические персональные данные в соответствии со статьёй 11 Закона № 152-ФЗ Оператором не обрабатываются: Сайт не осуществляет распознавание лиц, голоса, отпечатков пальцев или иных биометрических характеристик, а аудиофайлы аудиокниг не используются для идентификации личности. Оператор также не собирает и не хранит фамилию, имя и отчество в качестве обязательного реквизита заказа, номер телефона, паспортные данные, адрес места жительства, реквизиты банковских карт и иные платёжные данные: оплата принимается платёжными системами ЮKassa и Робокасса на их защищённых страницах, и полные реквизиты платёжных средств Оператору не передаются и у него не хранятся.

3.6. Состав обрабатываемых данных является минимально необходимым для достижения заявленных целей (принцип минимизации). Если пользователь указывает в свободных полях форм или в обращениях в поддержку данные, выходящие за пределы перечисленного состава, Оператор обрабатывает их только в объёме, необходимом для ответа на обращение или модерации отзыва, и не включает их в иные операции без отдельного правового основания.

4. Цели обработки персональных данных

4.1. Обработка адреса электронной почты покупателя осуществляется в целях: заключения и исполнения договора, оформленного принятием Публичной оферты, включая создание заказа, направление ссылки на оплату, подтверждение получения оплаты, открытие доступа к приобретённым книгам и аудиокнигам в личном кабинете «Моя полка» и предоставление возможности скачивания файлов; формирование чека налога на профессиональный доход самим Оператором в приложении «Мой налог» (чек не формируется интеграцией платёжной системы); аутентификации покупателя при входе в личный кабинет по одноразовому шестизначному коду, направляемому на адрес электронной почты сервисом Яндекс 360 (SMTP), без использования постоянного пароля; направления служебных писем, непосредственно связанных с исполнением договора, в объёме, фактически реализованном на Сайте: письмо с одноразовым кодом входа. Такие служебные письма отличаются от информационных рассылок рекламного характера: они направляются только в связи с конкретным заказом или обращением на основании договора. Информационная (рекламная) рассылка о новых релизах в настоящее время Оператором не осуществляется: форма подписки и сервис рассылки на Сайте не подключены. При подключении сервиса рассылки она будет направляться только адресатам, давшим на неё отдельное добровольное согласие по отдельному документу (внутренний документ Оператора – согласие на рассылку), с возможностью отказа в каждом письме.

4.2. Обработка данных заказов осуществляется в целях: учёта продаж и предоставленного доступа, разрешения споров о факте оплаты и объёме предоставленного контента, обработки возвратов в случаях, предусмотренных Публичной офертой и законодательством о защите прав потребителей, исполнения обязанностей плательщика налога на профессиональный доход по учёту доходов и формированию чеков в соответствии с Федеральным законом от 27.11.2018 № 422-ФЗ, а также в целях защиты прав Оператора при доказанном незаконном распространении файлов с персональной лицензионной меткой покупателя.

4.3. Обработка прогресса чтения и прослушивания осуществляется исключительно в целях предоставления покупателю функции продолжения чтения и прослушивания с места остановки на любом устройстве после входа в личный кабинет, отображения процента прочитанного и прослушанного, а также синхронизации позиции между онлайн-читалкой и онлайн-аудиоплеером Сайта. Прогресс не используется для рекламного профилирования, не передаётся третьим лицам в маркетинговых целях и удаляется вместе с удалением учётной записи покупателя в порядке раздела 7.

4.4. Обработка данных авторов отзывов осуществляется в целях: верификации факта покупки книги, к которой направляется отзыв; предварительной модерации отзывов для пресечения спама, рекламы, оскорблений и публикации персональных данных третьих лиц; публикации одобренных отзывов на страницах книг вместе с именем или псевдонимом автора, оценкой, датой и отметкой о подтверждённой покупке в объёме, на который автор дал согласие при отправке формы; – при этом автоматическое уведомление автора отзыва о результатах модерации по электронной почте не направляется: результат модерации проявляется публикацией отзыва на странице книги, а ответ автора книг публикуется рядом с отзывом. Адрес электронной почты автора отзыва никогда не публикуется на Сайте и не отображается рядом с отзывом.

4.5. Обработка технических данных посетителей, включая IP-адреса и журналы сервера, осуществляется в целях: обеспечения информационной безопасности Сайта, выявления и пресечения несанкционированного доступа, спама и автоматизированных злоупотреблений; ограничения частоты запросов в системе rate limit, защищающей формы заказа, входа и отзывов от перебора кодов и массовых отправок; диагностики технических сбоев, восстановления работоспособности Сайта и анализа ошибок сервера в обезличенном или минимально необходимом виде. Иные цели, не совместимые с перечисленными в настоящем разделе, для обработки персональных данных Оператором не допускаются; если потребуется обработка для новой цели, Оператор предварительно опубликует обновлённую редакцию настоящей Политики и, когда это требуется по закону, запросит отдельное согласие субъектов.

4.6. Обработка данных веб-аналитики (Яндекс.Метрика, включая Вебвизор и карту кликов) осуществляется исключительно с согласия посетителя в целях: подсчёта посещаемости и источников переходов, получения обезличенной статистики использования страниц и функций Сайта, выявления неудобств интерфейса и улучшения Сайта. Срок обработки – до отзыва согласия; отказ или отзыв не ограничивает доступ к Сайту и купленному контенту.

5. Правовые основания обработки персональных данных

5.1. Правовые основания обработки персональных данных по статье 6 Закона № 152-ФЗ применяются раздельно к разным целям. (а) Пункт 5 части 1 статьи 6 – исполнение договора, стороной которого является субъект, и заключение договора по его инициативе: договором является договор, заключаемый принятием Публичной оферты при оформлении и оплате заказа; только на этом основании и без отдельного согласия обрабатываются адрес электронной почты покупателя, данные заказов, записи журнала скачиваний и прогресс чтения и прослушивания – в объёме, необходимом для предоставления и подтверждения доступа к оплаченному контенту. (б) Пункт 1 части 1 статьи 6 – согласие субъекта: согласие требуется и запрашивается только для целей, не входящих в исполнение договора, а именно для обработки и публикации отзыва, для информационной рассылки о релизах (при её подключении – см. пункт 4.1) и для веб-аналитики Яндекс.Метрика (согласие даётся кнопкой «Разрешить» в плашке согласия до загрузки счётчика – см. пункт 4.6, раздел 12 и Политику использования cookie); полный текст отдельного Согласия размещён по адресу /legal/consent/. (в) Пункт 2 части 1 статьи 6 – исполнение обязанностей, возложенных законодательством, включая учёт доходов плательщика НПД и формирование чеков в приложении «Мой налог». (г) Пункт 7 части 1 статьи 6 – осуществление прав и законных интересов Оператора: обеспечение безопасности Сайта, журналы доступа веб-сервера, система ограничения частоты запросов и антиспам-защита, защита от мошенничества и незаконного распространения контента – при условии, что при этом не нарушаются права и свободы субъекта.

5.2. Согласие на обработку персональных данных, когда оно является правовым основанием, должно быть конкретным, предметным, информированным, сознательным и однозначным. Согласие оформляется отдельным документом (текст Согласия по адресу /legal/consent/) и не является частью Публичной оферты или настоящей Политики. На Сайте согласие предоставляется отдельным действием – проставлением отметки в отдельном чекбоксе согласия, который не предустановлен (не отмечен заранее) и не объединён с отметкой о принятии условий Оферты, рядом с текстом, содержащим ссылку на текст Согласия, – при отправке формы отзыва, а при подключении рассылки или аналитики – также в соответствующей отдельной форме. Пользователь может ознакомиться с документами до проставления отметки; отправка формы отзыва без отметки о согласии технически невозможна. Для подтверждения наличия правового основания Оператор сохраняет сведения, доступные в информационной системе: адрес электронной почты субъекта, связанный заказ или отзыв и служебные даты создания соответствующих записей; версия документов определяется датой редакции, действовавшей на момент отправки формы.

5.3. Субъект вправе в любой момент отозвать согласие на обработку персональных данных в порядке раздела 8 настоящей Политики. Отзыв согласия не влияет на законность обработки, осуществлённой до его отзыва, и не прекращает автоматически обработку, которая продолжается на ином правовом основании, в частности для исполнения договора и обязанностей, установленных законом; о таком продолжении и его сроках Оператор сообщает субъекту в ответе на обращение об отзыве согласия. Если единственным основанием обработки была договорная необходимость, а договор исполнен и прекращён, дальнейшее хранение ограничивается только теми сведениями и сроками, которые требуются законодательством об учёте доходов самозанятых и о защите прав потребителей.

6. Принципы обработки персональных данных

6.1. Обработка персональных данных Оператором осуществляется на законной и справедливой основе в соответствии со статьёй 5 Закона № 152-ФЗ. Обработка ограничивается достижением конкретных, заранее определённых и законных целей, перечисленных в разделе 4; не допускается обработка, несовместимая с целями сбора, а также объединение баз данных, созданных для несовместимых между собой целей. Содержание и объём обрабатываемых данных соответствуют заявленным целям, обрабатываемые данные не являются избыточными по отношению к этим целям, что на практике выражается в отказе от сбора телефонных номеров, паспортных данных и реквизитов карт.

6.2. Оператор обеспечивает точность персональных данных, их достаточность и, в необходимых случаях, актуальность по отношению к целям обработки, а также принимает разумные меры по удалению или уточнению неполных и неточных данных по обращению субъекта и по собственной инициативе при выявлении неточностей. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки и законодательство, после чего данные подлежат уничтожению либо обезличиванию в порядке раздела 7. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных; решения о предоставлении доступа, возврате и модерации отзывов при необходимости проверяются Оператором лично.

7. Порядок сбора, хранения, уточнения, блокирования и уничтожения персональных данных

7.1. Сбор персональных данных осуществляется непосредственно у субъекта через формы Сайта (форма оформления заказа, форма запроса кода входа, форма отзыва), через электронную почту при обращениях в поддержку, а также автоматически при обращении браузера субъекта к серверу Сайта в части технических данных журналов и системы ограничения частоты запросов. Оператор не получает персональные данные покупателей из социальных сетей, от брокеров данных или из иных внешних источников для целей продаж на Сайте и не покупает базы адресов электронной почты. Платёжные системы передают Оператору только подтверждение оплаты, идентификатор платежа, сумму и статус, необходимые для исполнения договора, и не передают полные реквизиты платёжных средств.

7.2. Хранение персональных данных осуществляется в информационной системе персональных данных на базе PocketBase, развёрнутой на виртуальном сервере на территории Российской Федерации. Доступ к административной панели информационной системы ограничен: панель защищена дополнительной авторизацией веб-сервера (basic_auth), доступом только для Оператора с использованием изолированного системного пользователя операционной системы с минимально необходимыми правами, а также парольной защитой и иными мерами, описанными в разделе 9. Файлы книг, выдаваемые покупателям, хранятся в защищённой области сервера и предоставляются только авторизованным пользователям по временным ссылкам и токенам после проверки факта оплаты; прямые публичные ссылки на платные файлы на Сайте не размещаются.

7.3. Уточнение персональных данных производится по обращению субъекта или его представителя, а также при выявлении Оператором неточностей, например при возврате письма из-за ошибки в адресе электронной почты. Для уточнения адреса электронной почты, к которому привязан доступ к книгам, Оператор вправе запросить подтверждение с прежнего и нового адресов, чтобы не допустить передачи доступа постороннему лицу. Блокирование персональных данных осуществляется в случаях, предусмотренных статьёй 21 Закона № 152-ФЗ, в том числе при выявлении неправомерной обработки, неточности данных или по требованию субъекта на период проверки. Уничтожение персональных данных производится по достижении целей обработки, по отзыве согласия при отсутствии иных оснований, по истечении сроков хранения, установленных разделом 7.4, а также по законному требованию субъекта или уполномоченного органа. Уничтожение выполняется путём удаления записей из базы данных и из резервных копий при их очередной ротации, а для бумажных носителей, если они временно использовались, – путём физического уничтожения; Уничтожение персональных данных, обрабатываемых с использованием средств автоматизации, подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе, подтверждающей удаление записей, в соответствии с Требованиями, утверждёнными Приказом Роскомнадзора от 28.10.2022 № 179; акт и выгрузка хранятся три года. Если уничтожение в установленные сроки невозможно, данные блокируются и уничтожаются в срок не более шести месяцев в соответствии с частью 6 статьи 21 Закона № 152-ФЗ.

7.4. Сроки хранения персональных данных составляют: данные заказов, включая адрес электронной почты покупателя в составе учётных сведений о заказе, сумму, состав заказа и сведения о чеке налога на профессиональный доход, – пять лет с даты оплаты заказа для целей учёта доходов самозанятого, исполнения налоговых обязанностей и разрешения потребительских споров, после чего данные удаляются или обезличиваются, если более длительный срок не требуется по закону на момент удаления; прогресс чтения и прослушивания – до удаления учётной записи покупателем или по его обращению на адрес поддержки, а при отсутствии входа в личный кабинет и какой-либо активности в течение длительного периода Оператор вправе уведомить покупателя и удалить прогресс вместе с прекращением доступа, если договор прекращён; данные отзывов, включая опубликованный текст, имя или псевдоним, оценку и служебный адрес электронной почты автора, – до отзыва согласия автором отзыва или до его обращения с требованием об удалении отзыва, а неопубликованные и отклонённые отзывы – не более одного года с даты модерации, если более длительное хранение не требуется для защиты от повторного спама; журналы доступа веб-сервера Caddy, содержащие IP-адреса, URL и User-Agent, – 14 суток с даты записи, после чего удаляются при ротации, за исключением записей, необходимых для расследования конкретного инцидента безопасности, которые хранятся до завершения расследования; записи системы ограничения частоты запросов (rate_limits) – один час, после чего автоматически удаляются; записи журнала скачиваний (download_log) – в течение срока действия доступа к контенту и далее в составе сведений о заказе пять лет с даты оплаты соответствующего заказа, после чего удаляются или обезличиваются вместе с данными заказа; резервные копии базы данных – 14 суток, после чего автоматически удаляются при ротации; обращения в службу поддержки и переписка по вопросам персональных данных – в течение срока, необходимого для исполнения обращения, и далее в составе учётной переписки не более трёх лет, если иной срок не следует из характера спора. По истечении указанных сроков данные уничтожаются в порядке пункта 7.3 без дополнительного уведомления, за исключением случаев, когда уведомление прямо обещано субъекту в ответе на его обращение.

8. Права субъекта персональных данных и порядок обращения

8.1. Субъект персональных данных в соответствии со статьями 14–17 и 20–21 Закона № 152-ФЗ имеет право: получать информацию, касающуюся обработки его персональных данных, включая подтверждение факта обработки, правовые основания и цели, применяемые способы, сведения о лицах, которым данные могут быть раскрыты, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, а также информацию о порядке осуществления прав; требовать уточнения своих персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели; отозвать согласие на обработку персональных данных, когда обработка осуществляется на основании согласия; требовать прекращения обработки данных, обрабатываемых в целях продвижения товаров и услуг, в том числе отказаться от информационной рассылки; обжаловать действия или бездействие Оператора в Роскомнадзор и в судебном порядке, а также требовать возмещения убытков и компенсации морального вреда в случаях, предусмотренных законом. Доступ субъекта к своим персональным данным не должен нарушать права и свободы других лиц; сведения, содержащие персональные данные других субъектов, из ответа исключаются или обезличиваются.

8.2. Для реализации своих прав субъекту достаточно направить обращение на адрес электронной почты support@neprostye.ru с того адреса электронной почты, который был указан при заказе или отправке отзыва, либо, если это невозможно, с указанием в обращении данных, позволяющих Оператору достоверно идентифицировать субъекта и его заказы или отзывы, например номера заказа и даты оплаты. В обращении рекомендуется указать фамилию, имя (при наличии), адрес электронной почты, существо требования (запрос информации, уточнение, блокирование, уничтожение, отзыв согласия, удаление отзыва) и предпочтительный адрес для ответа. Обращения, направленные с постороннего адреса без подтверждающих сведений, могут потребовать дополнительной проверки, о чём Оператор сообщит заявителю, чтобы не раскрыть персональные данные неуполномоченному лицу.

8.3. Оператор рассматривает обращение и предоставляет ответ в течение десяти рабочих дней с даты получения обращения субъекта или его представителя в соответствии со статьёй 20 Закона № 152-ФЗ; в случаях, прямо предусмотренных законом, срок может быть продлён не более чем на пять рабочих дней с направлением субъекту мотивированного уведомления. Если обращение касается уточнения, блокирования или уничтожения данных, Оператор совершает требуемые действия в сроки, установленные статьёй 21 Закона № 152-ФЗ, и уведомляет субъекта о внесённых изменениях и предпринятых мерах. Отзыв согласия направляется тем же способом – письмом на адрес поддержки – и вступает в силу с момента получения Оператором; Оператор прекращает обработку, осуществлявшуюся на основании отозванного согласия, и уничтожает соответствующие данные в срок не более тридцати дней, если иной срок не установлен законом и если отсутствуют иные правовые основания для продолжения обработки, о которых Оператор сообщает в ответе. Удаление адреса электронной почты, являющегося единственным идентификатором покупателя, влечёт прекращение доступа к личному кабинету и к ранее приобретённому контенту в той мере, в какой доступ технически привязан к этому адресу, о чём Оператор предупреждает субъекта до завершения удаления и предлагает, при возможности, перенос доступа на иной адрес, принадлежащий тому же субъекту. Удаление опубликованного отзыва производится путём удаления его текста и имени автора со страниц Сайта; служебная запись о факте модерации может сохраняться в обезличенном виде для защиты от спама.

8.4. Если субъект считает, что Оператор осуществляет обработку его персональных данных с нарушением требований Закона № 152-ФЗ или иным образом нарушает его права и свободы, он вправе обжаловать действия или бездействие Оператора в Роскомнадзор (109992, г. Москва, Китайгородский пр., д. 7, стр. 2, официальный сайт rkn.gov.ru) или в судебном порядке по месту своего жительства. Оператор добросовестно содействует рассмотрению жалоб и предоставляет уполномоченному органу запрашиваемую информацию в установленные законом сроки.

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения, а также от иных неправомерных действий в соответствии со статьями 18.1 и 19 Закона № 152-ФЗ. К правовым мерам относятся утверждение настоящей Политики, внутреннего Положения об обработке и защите персональных данных, назначение ответственного за организацию обработки персональных данных, издание приказа о допуске к данным и об уровне защищённости информационной системы, определение модели угроз и перечня обрабатываемых данных, заключение поручений на обработку с лицами, которым обработка поручается, и ведение журналов обращений субъектов и учёта согласий. Поскольку Оператор является самозанятым физическим лицом без наёмных работников, доступ к персональным данным имеет только сам Оператор; привлечённые подрядчики, если они когда-либо будут допущены к данным, допускаются только на основании поручения и обязательства о неразглашении.

9.2. К организационным и техническим мерам относятся: передача данных между браузером пользователя и Сайтом только по защищённому протоколу HTTPS с использованием действующего TLS-сертификата, автоматическое перенаправление незащищённых соединений на защищённые; размещение информационной системы у хостинг-провайдера на территории Российской Федерации и ограничение сетевого доступа к служебным портам и административной панели, включая дополнительную авторизацию веб-сервера basic_auth для админки PocketBase; работа сервисов от имени изолированного системного пользователя операционной системы с принципом минимальных привилегий, разделение прав доступа к базе данных, файлам книг и резервным копиям; использование стойких паролей и, где это поддерживается инфраструктурой, дополнительных факторов защиты учётных записей Оператора у хостинг-провайдера и почтового сервиса; регулярное обновление операционной системы и программного обеспечения сервера, контроль целостности и доступности исправлений безопасности; регистрация событий безопасности в журналах сервера и хранение журналов доступа в течение 14 суток для выявления инцидентов; резервное копирование базы данных и критичных файлов по расписанию с хранением копий в защищённом месте и периодической проверкой возможности восстановления; ограничение частоты запросов и антиспам-защита форм для предотвращения перебора кодов входа и массовых злоупотреблений; выдача платных файлов только после проверки авторизации и факта оплаты по временным ссылкам. Конкретный состав мер определён по результатам определения уровня защищённости УЗ-4 для информационной системы Сайта в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 и Приказом ФСТЭК России от 18.02.2013 № 21 и зафиксирован во внутренних документах Оператора, которые не публикуются в полном объёме в целях безопасности.

9.3. Оператор проводит оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ, в соответствии с пунктом 5 части 1 статьи 18.1 Закона № 152-ФЗ и Требованиями, утверждёнными Приказом Роскомнадзора от 27.10.2022 № 178; результат оценки и определённая степень вреда фиксируются в отдельном внутреннем акте оценки вреда Оператора, который пересматривается при изменении состава данных и процессов обработки. Оператор также оценивает соразмерность принимаемых мер этому вреду, пересматривает модель угроз при существенном изменении функционала Сайта, состава данных или инфраструктуры, а также проводит внутренний контроль соответствия обработки требованиям законодательства не реже одного раза в год и при каждом существенном изменении процессов. При обнаружении инцидента безопасности, затрагивающего персональные данные, Оператор принимает меры по устранению последствий, устанавливает причины и, в соответствии с частью 3.1 статьи 21 Закона № 152-ФЗ уведомляет Роскомнадзор о произошедшем инциденте в установленные законом сроки: в течение двадцати четырёх часов – о произошедшем инциденте, его предполагаемых причинах, предполагаемом вреде и принятых мерах, со сведениями о лице, уполномоченном на взаимодействие с Роскомнадзором, и в течение семидесяти двух часов – о результатах внутреннего расследования инцидента и о лицах, действия которых стали его причиной (при наличии), а также уведомляет затронутых субъектов, если инцидент создаёт для них существенный риск.

10. Передача персональных данных третьим лицам и обработка по поручению Оператора

10.1. Оператор не продаёт персональные данные, не передаёт их третьим лицам в маркетинговых целях и не раскрывает их неопределённому кругу лиц, за исключением публикации отзывов в ограниченном объёме, описанном в разделе 4. Передача персональных данных допускается только в случаях, необходимых для исполнения договора с субъектом, исполнения обязанности, установленной законом, защиты прав Оператора при злоупотреблениях, а также лицам, осуществляющим обработку по поручению Оператора на условиях части 3 статьи 6 Закона № 152-ФЗ.

10.2. Лицами, осуществляющими обработку персональных данных по поручению Оператора, являются: платёжная система ЮKassa (ООО НКО «ЮMoney» и (или) оператор сервиса ЮKassa) – в целях приёма оплаты и подтверждения платежа; ей передаются только сумма платежа и идентификатор заказа, адрес электронной почты покупателя платёжной системе не передаётся, чек налога на профессиональный доход платёжной системой не формируется и формируется самим Оператором в приложении «Мой налог»; платёжная система Робокасса – в тех же целях, когда оплата проводится через эту систему; ей также передаются только сумма платежа и идентификатор заказа (InvId), без адреса электронной почты покупателя; почтовый сервис Яндекс 360 (SMTP) – в целях доставки транзакционных писем, писем с одноразовыми кодами входа, чеков и ответов поддержки; ему передаются адрес электронной почты получателя и содержание служебного письма, при этом Яндекс 360 не вправе использовать эти данные для собственных маркетинговых целей в рамках поручения; ООО «ЯНДЕКС» (сервис Яндекс.Метрика) – только при наличии согласия посетителя на аналитику и в целях пункта 4.6; ему передаются данные, указанные в пункте 3.3 (cookie _ym*, IP-адрес, сведения о браузере и устройстве, действия на Сайте, записи Вебвизора без содержимого полей ввода), на условиях использования сервиса Яндекс.Метрика, данные хранятся в Российской Федерации; хостинг-провайдер HOSTKEY – в целях размещения виртуального сервера, на котором работает информационная система персональных данных, обеспечения её сетевой доступности и физической защиты инфраструктуры центра обработки данных DataPro в г. Москве; HOSTKEY действует как лицо, осуществляющее обработку по поручению Оператора в части хранения данных на сервере и предоставления инфраструктуры (поручение оформляется с HOSTKEY до начала обработки; до его оформления обработка на Сайте не начинается) и по условиям поручения обязуется соблюдать конфиденциальность, обеспечивать меры защиты, не привлекать субобработчиков без согласия Оператора в случаях, предусмотренных поручением, и уведомлять Оператора об инцидентах безопасности.

10.3. В поручении на обработку для каждого из перечисленных лиц определяются перечень персональных данных, перечень действий с данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность данных в соответствии со статьёй 19 Закона № 152-ФЗ, а также обязанность по запросу Оператора предоставлять сведения, подтверждающие выполнение поручения. Оператор выбирает в качестве обработчиков только лиц, предоставляющих достаточные гарантии принятия необходимых мер защиты, и периодически проверяет актуальность их публичных условий обработки данных. Государственным органам персональные данные могут быть предоставлены только по мотивированному запросу в случаях и порядке, установленных законодательством Российской Федерации; о факте такого предоставления Оператор делает внутреннюю отметку, а субъект уведомляется, если это не запрещено законом и не препятствует законной цели запроса.

11. Трансграничная передача персональных данных

11.1. Трансграничная передача персональных данных на территорию иностранных государств Оператором не осуществляется. Сервер информационной системы, почтовая инфраструктура для служебных писем и платёжные системы, перечисленные в разделе 10, обрабатывают данные покупателей в рамках исполнения договора с использованием инфраструктуры, обеспечивающей хранение базы данных граждан Российской Федерации на территории Российской Федерации. Оператор не использует зарубежные аналитические, рекламные и трекинговые сервисы, которые получали бы персональные данные посетителей Сайта; российский сервис Яндекс.Метрика (ООО «ЯНДЕКС») применяется только с согласия посетителя и хранит данные на территории Российской Федерации; если в будущем возникнет необходимость использования сервиса, предполагающего трансграничную передачу, Оператор предварительно оценит условия статей 12 и 26 Закона № 152-ФЗ, при необходимости уведомит Роскомнадзор, обновит настоящую Политику и запросит отдельное согласие субъектов, когда это требуется законом, и только после этого начнёт такую передачу.

12. Cookie и локальное хранилище браузера

12.1. Сайт использует только технические cookie и записи localStorage, строго необходимые для входа в личный кабинет, сохранения прогресса и настроек читалки, а также для фиксации факта ознакомления с уведомлением о cookie и выбора посетителя по аналитике. Рекламные cookie третьих лиц на Сайте не устанавливаются. Аналитические cookie сервиса Яндекс.Метрика (префикс _ym) устанавливаются только после согласия посетителя, данного кнопкой «Разрешить» в плашке согласия; до этого счётчик не загружается. Отозвать согласие можно кнопкой «Изменить выбор» на странице /legal/cookies/, очисткой cookie в браузере или письмом на support@neprostye.ru. Полный перечень файлов cookie и записей localStorage с указанием назначения и срока хранения, а также инструкции по отключению cookie в браузере приведены в отдельном документе по адресу /legal/cookies/. Отключение технических cookie и очистка localStorage могут привести к невозможности входа в личный кабинет, потере настроек читалки и несохранению прогресса на конкретном устройстве, при этом сам доступ к оплаченному контенту после повторного входа по коду сохраняется.

13. Несовершеннолетние и возрастная маркировка 16+

13.1. Информационная продукция, предлагаемая на Сайте, имеет возрастную классификацию 16+ в соответствии с Федеральным законом от 29.12.2010 № 436-ФЗ «О защите детей от информации, причиняющей вред их здоровью и развитию». Сайт и его контент не адресованы детям младше шестнадцати лет, и Оператор сознательно не собирает персональные данные лиц, не достигших шестнадцати лет, для целей продажи контента. Оформляя заказ, покупатель подтверждает, что ему исполнилось шестнадцать лет, в соответствии с условиями Публичной оферты. Если Оператору станет известно, что персональные данные были предоставлены лицом младше шестнадцати лет без законных оснований и без согласия законного представителя, где такое согласие требуется, Оператор удалит такие данные и прекратит связанный с ними доступ после проверки обращения законного представителя, направленного на адрес поддержки.

13.2. Родители и иные законные представители несовершеннолетних вправе обратиться на адрес поддержки по вопросам удаления данных несовершеннолетнего, блокирования доступа и удаления отзывов, указав сведения, позволяющие идентифицировать соответствующие данные и подтвердить полномочия представителя; такие обращения рассматриваются в приоритетном порядке в сроки раздела 8.

14. Порядок изменения настоящей Политики

14.1. Оператор вправе вносить изменения в настоящую Политику при изменении законодательства, функционала Сайта, состава обрабатываемых данных, перечня лиц, осуществляющих обработку по поручению, и применяемых мер защиты. Актуальная редакция Политики всегда доступна по постоянному адресу https://neprostye.ru/legal/privacy/ с указанием даты редакции в начале документа. Новая редакция вступает в силу с момента её размещения на Сайте, если в самой редакции не указан иной срок; редакция, действовавшая на момент предоставления согласия субъектом и на момент заключения договора с покупателем, сохраняется в архиве Оператора для подтверждения условий обработки.

14.2. О существенных изменениях, затрагивающих цели обработки, состав данных или права субъектов, Оператор уведомляет пользователей путём размещения заметного уведомления на Сайте и, при наличии адреса электронной почты и правового основания для такого сообщения, направлением уведомления по электронной почте до вступления изменений в силу или одновременно с ним. Продолжение использования Сайта после вступления новой редакции в силу означает ознакомление с ней; для обработок, требующих согласия, Оператор при необходимости запросит согласие повторно, и до его получения обработка в новых целях не начнётся. Вопросы по настоящей Политике, а также замечания о расхождении между текстом Политики и фактической работой Сайта следует направлять на адрес поддержки; Оператор рассматривает такие сообщения как обращения по вопросам персональных данных в порядке раздела 8.

15. Контактная информация и реквизиты Оператора

15.1. Оператор персональных данных: самозанятый гражданин – плательщик налога на профессиональный доход (НПД) – Колесниченко Дмитрий Петрович, ИНН 500801708180. Контактный адрес электронной почты по вопросам персональных данных, реализации прав субъектов, отзыва согласия и удаления отзывов: support@neprostye.ru. Почтовый адрес для корреспонденции предоставляется Оператором по запросу субъекта в ответе на его обращение, направленное на указанный адрес электронной почты, в целях разумной защиты от спама и несанкционированных обращений.

15.2. Связанные документы: Публичная оферта – /legal/oferta/; Согласие на обработку персональных данных – /legal/consent/; Политика использования cookie – /legal/cookies/. В случае противоречия между кратким описанием обработки данных в интерфейсе Сайта (подписи к чекбоксам, всплывающие уведомления, баннер о cookie) и полным текстом настоящей Политики приоритет имеет настоящая Политика, а краткие описания следует толковать как отсылающие к ней.