Политика обработки персональных данных Jelyfin

1. Общие положения

1.1. Эта Политика описывает, как владелец мобильного приложения Jelyfin обрабатывает персональные данные пользователей: какие данные собираются, зачем, на каком основании, как долго хранятся, кому передаются и как их удалить.

1.2. Политика издана и опубликована во исполнение ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ). Она находится в неограниченном доступе: на сайте https://jelyfin.com/privacy и в приложении — в разделе «Правовые документы».

1.3. Оператор персональных данных:

Рахимов Сергей Павлович — физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» (самозанятый). E-mail для вопросов о персональных данных (в том числе отзыв согласий и запросы по разделу 6): privacy@jelyfin.com

1.4. Термины:

• Сервис, Пользователь, Анкета, Аккаунт — в значениях, определённых в разделе 1 Соглашения. Анкета — профиль Пользователя с карточками, предназначенный для показа другим Пользователям; показ выполняется только по отдельному согласию (п. 3.3);
• Оператор — владелец Сервиса (реквизиты — п. 1.3);
• Соглашение — пользовательское соглашение Сервиса;
• Политика — настоящий документ;
• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (ст. 3 152-ФЗ);
• обработка — любое действие с персональными данными: сбор, запись, хранение, использование, передача, удаление и другие (ст. 3 152-ФЗ).

1.5. Политика действует в отношении всех субъектов, чьи персональные данные обрабатывает Оператор, включая лиц, которые начали вход, но не завершили создание Анкеты (п. 4.1). Форма листа ожидания на сайте Сервиса не передаёт введённый адрес электронной почты Оператору: он сохраняется только в браузере посетителя.

1.6. Оператор может обновлять Политику. Новая редакция публикуется там же, где эта, с указанием даты. О новой редакции Оператор уведомляет Пользователей в порядке, установленном разделом 12 Соглашения, — не менее чем за 7 дней до даты её вступления в силу. Изменения, добавляющие новые цели обработки или новых получателей данных, применяются к Пользователю после принятия им новой редакции в приложении, а обработка, основанная на согласии, — после получения нового согласия.

2. Цели обработки персональных данных

Оператор обрабатывает данные только для перечисленных ниже целей. Для каждой цели указаны свои категории данных.

2.1.1. Способы входа. Войти в Сервис можно четырьмя способами; Пользователь выбирает любой из них на экране входа:

Аккаунт в Сервисе определяется адресом электронной почты: если адрес, полученный от сервиса входа, совпадает с адресом уже существующего аккаунта, Пользователь попадает в этот аккаунт, а не в новый, — и может дальше входить в него любым из способов.

Если же сервис входа адрес не передал (Пользователь не дал такого разрешения в VK ID) либо передал технический адрес Apple вида @privaterelay.appleid.com, совпадения с существующим аккаунтом не происходит и создаётся отдельный аккаунт. В этом случае Сервис предлагает Пользователю указать и подтвердить действующий адрес электронной почты.

Оператор не получает от сервисов входа пароль Пользователя и не имеет доступа к его учётной записи в этих сервисах. Состав данных, которые сервис входа передаёт Оператору, определяется разрешениями, которые Пользователь даёт в самом сервисе входа, и может быть изменён Пользователем в его настройках. Отзыв разрешения в сервисе входа не удаляет аккаунт в Сервисе — порядок удаления описан в разделе 7.

2.12. Оператор не запрашивает и не обрабатывает сведения о состоянии здоровья, расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях; биометрические персональные данные не запрашиваются и не обрабатываются.

3. Правовые основания обработки

3.1. Договор с Пользователем (пп. 5 ч. 1 ст. 6 152-ФЗ). Соглашение — договор между Оператором и Пользователем. На этом основании обрабатываются данные, без которых Сервис работать не может: данные для входа любым из способов, перечисленных в п. 2.1.1 (п. 2.1), контроль возраста (п. 2.3), автоопределение города по запросу Пользователя (п. 2.4), рекомендательный подбор (п. 2.5), обмен сообщениями и выражение симпатии (п. 2.6), доставка уведомлений (п. 2.9). Это же основание охватывает обработку данных для входа до принятия Соглашения: она необходима для заключения договора по инициативе Пользователя (пп. 5 ч. 1 ст. 6 152-ФЗ).

3.2. Согласие на обработку персональных данных — отдельный документ, который Пользователь принимает отдельным действием — нажатием отдельной кнопки (ч. 1 ст. 9 152-ФЗ). Охватывает обработку данных Анкеты и контента, размещаемого в Анкете (тексты и ответы карточек, фотографии в карточках, ники социальных сетей); сообщения чата и данные при выражении симпатии обрабатываются на основании договора (п. 3.1). Для необязательных категорий данных (ники социальных сетей, голосовые записи) выбором категории является само заполнение соответствующего поля Пользователем.

3.3. Согласие на показ данных Анкеты другим Пользователям — отдельный документ, состав которого соответствует приказу Роскомнадзора от 24.02.2021 № 18 (ст. 10.1 152-ФЗ). Без него Анкета другим Пользователям не показывается.

3.4. Согласие на проверку фотографий — отдельная кнопка-подтверждение на экране проверки, перед съёмкой селфи. Проверка добровольна: отказ не блокирует доступ к функциям Сервиса, однако отметка о проверке может влиять на порядок показа Анкеты в ленте и учитываться в фильтрах поиска других Пользователей.

3.5. Законные интересы Оператора и третьих лиц (пп. 7 ч. 1 ст. 6 152-ФЗ): модерация и безопасность (п. 2.8), доказательство принятия документов (п. 2.11), защита от злоупотреблений. Обработка на этом основании не затрагивает права и свободы Пользователей сверх необходимого.

3.6. Тексты всех принимаемых документов доступны Пользователю до принятия и в любой момент после — в разделе «Правовые документы» приложения и на сайте https://jelyfin.com.

4. Категории субъектов и перечень персональных данных

4.1. Категории субъектов:

1. Пользователи Сервиса (18+);
2. лица, начавшие вход, но не завершившие создание Анкеты (обрабатывается адрес электронной почты и код подтверждения, а при входе через сервис входа — идентификатор учётной записи в этом сервисе и полученные от него адрес электронной почты и имя);
3. Пользователи, запросившие удаление аккаунта (данные хранятся до истечения 7-дневного периода отмены — раздел 7);
4. администраторы и модераторы Сервиса (служебные учётные записи; их действия и IP-адреса фиксируются в журнале аудита).

Контент Пользователя (фотографии, тексты, сообщения) может содержать сведения о третьих лицах. Загружать чужие фотографии и раскрывать чужие данные без согласия запрещено Соглашением; для нарушений работает механизм жалоб.

4.2. Полный перечень обрабатываемых данных по группам:

4.3. Локальное хранение на устройстве. Часть данных хранится только на устройстве Пользователя и Оператору не передаётся: настройки интерфейса, служебные флаги и кэши изображений — в локальных хранилищах приложения; там же хранится локальная копия фильтров поиска (сами параметры поиска обрабатываются на сервере — пп. 2.5, 4.2). Токены сессии выдаются сервером и хранятся на устройстве в системном защищённом хранилище (Keychain); на сервере хранится только хэш SHA-256 токена обновления (п. 4.2). Данные из локальных хранилищ удаляются при удалении приложения средствами операционной системы, за исключением системного защищённого хранилища (Keychain): его записи операционная система очищает по собственным правилам и может сохранять после удаления приложения. Хранящиеся там токены сессии в любом случае прекращают действовать по истечении сроков, указанных в п. 5.2.

5. Порядок и условия обработки

5.1. Действия и способы

Оператор собирает, записывает, систематизирует, накапливает, хранит, уточняет, извлекает, использует, передаёт (предоставляет, даёт доступ), блокирует, удаляет и уничтожает персональные данные. Обработка автоматизированная, с передачей по сети Интернет.

Лента Анкет упорядочивается автоматически по правилам рекомендательного подбора (п. 2.5). При этом решения, порождающие юридические последствия для Пользователя, не принимаются исключительно автоматически: результат проверки фотографий и решения о блокировке принимает человек.

5.2. Сроки хранения

По достижении цели обработки или истечении срока данные удаляются или обезличиваются.

5.3. Поручение обработки другим лицам

Оператор поручает отдельные действия по обработке (хранение, доставка сообщений) следующим лицам — на основании договоров по ч. 3 ст. 6 152-ФЗ, с обязательствами конфиденциальности и защиты данных:

Обработчики не вправе использовать данные для собственных целей.

5.3-бис. Иные получатели на территории России

При входе через VK ID Оператор и VK обмениваются данными, необходимыми для входа: Оператор направляет в VK ID код авторизации и идентификатор своего приложения, VK ID в ответ сообщает идентификатор учётной записи Пользователя и — в объёме разрешения, данного Пользователем в самом VK ID, — адрес электронной почты и имя. VK при этом действует не как обработчик по поручению Оператора (ч. 3 ст. 6 152-ФЗ), а как самостоятельный оператор: обработку данных на стороне VK регулируют документы VK, с которыми Пользователь соглашается в самом сервисе VK ID.

VK — российская организация, обмен выполняется с сервера Оператора в Российской Федерации. Трансграничной передачи при входе через VK ID не происходит.

5.4. Трансграничная передача

Трансграничная передача осуществляется следующим получателям:

События аналитики и отчёты об ошибках не отправляются с устройства Пользователя за рубеж напрямую: они поступают на сервер Оператора в Российской Федерации, где осуществляется их первичная запись (п. 5.5), и затем передаются получателям с этого сервера.

Иначе устроен вход через Google и через Apple: здесь обмен данными происходит непосредственно между устройством Пользователя и сервисом Google или Apple, минуя сервер Оператора, — так работают сами эти сервисы входа. Требование ч. 5 ст. 18 152-ФЗ при этом соблюдается: первичная запись персональных данных Пользователя в базу данных выполняется на сервере Оператора в Российской Федерации (п. 5.5), а Google и Apple получают только данные, необходимые для подтверждения входа. Пользователь, который не хочет такой передачи, может войти любым из двух других способов — по коду на адрес электронной почты или через VK ID (п. 2.1.1).

Пользователь может отключить уведомления в настройках устройства и Сервиса — тогда передача Apple Inc. и Expo для целей доставки уведомлений не осуществляется. Получатели обеспечивают конфиденциальность и защиту передаваемых данных на условиях не ниже предусмотренных настоящей Политикой.

США не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных; передача осуществляется после уведомления Роскомнадзора о трансграничной передаче (в отношении каждого получателя) и истечения установленного ст. 12 152-ФЗ срока рассмотрения — при отсутствии решения о запрете или об ограничении передачи.

Иным иностранным лицам персональные данные не передаются.

5.5. Локализация баз данных

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ): база данных Сервиса и файловое хранилище размещены в дата-центрах ООО «Яндекс.Облако» (Yandex Cloud) на территории Российской Федерации; резервные копии создаются средствами Оператора, шифруются и хранятся там же — в Yandex Object Storage (Россия).

6. Права Пользователя

6.1. Пользователь вправе:

• получить подтверждение обработки и сведения о своих данных (ст. 14 152-ФЗ): какие данные обрабатываются, цели, сроки, кому передаются;
• получить копию своих данных — по запросу на privacy@jelyfin.com; ответ — не позднее 10 рабочих дней (п. 6.2);
• уточнить данные — большинство данных Анкеты редактируются прямо в приложении; дата рождения после регистрации изменяется только по обращению к Оператору (защита контроля 18+);
• удалить аккаунт и данные — в настройках приложения (раздел 7) или по запросу на privacy@jelyfin.com;
• отозвать согласия — по запросу на privacy@jelyfin.com; удаление аккаунта в настройках приложения (раздел 7) равнозначно отзыву всех согласий;
• возразить против обработки и обжаловать действия Оператора — Оператору, в Роскомнадзор или в суд.

6.2. Запросы направляются с адреса электронной почты, привязанного к аккаунту, либо иным способом, позволяющим убедиться, что запрос подаёт сам Пользователь, — на e-mail Оператора: privacy@jelyfin.com. Срок ответа — 10 рабочих дней с возможностью продления не более чем на 5 рабочих дней с уведомлением Пользователя.

6.3. Последствия отзыва согласий:

• отзыв согласия на показ Анкеты — показ другим Пользователям прекращается не позднее 3 рабочих дней с момента получения требования; пользоваться основными функциями знакомств при скрытой Анкете нельзя;
• отзыв согласия на обработку данных Анкеты — Оператор прекращает обработку и уничтожает данные, на которые распространялось согласие, в срок до 30 дней (ч. 5 ст. 21 152-ФЗ), если нет иного законного основания их хранить; практически это равнозначно удалению аккаунта;
• данные, обрабатываемые для исполнения Соглашения (п. 3.1) или на основании закона, после отзыва согласия могут обрабатываться до прекращения Соглашения — то есть до удаления аккаунта.

7. Уничтожение данных при удалении аккаунта

7.1. Пользователь запускает удаление сам — в настройках приложения. Запрос на удаление доступен всегда, в том числе без принятия новых редакций документов.

7.2. После запроса действует период отмены 7 дней: удаление можно отменить, войдя в аккаунт; Анкета на это время скрывается из ленты, при этом вход и использование аккаунта не блокируются.

7.3. По истечении 7 дней аккаунт удаляется полностью и безвозвратно: учётная запись Пользователя, Анкета, сообщения, симпатии, настройки, а также все файлы — фотографии профиля и карточек, голосовые записи, снимки проверки — удаляются из базы данных и файлового хранилища.

7.4. Дольше аккаунта хранятся только:

• обезличенный архив записей о принятии документов (необратимо преобразованный — хэшированный — идентификатор записи, версия документа, его контрольная сумма SHA-256, время, IP-адрес) — 3 года, для подтверждения того, что согласия были получены;
• обезличенный архив модерации (необратимо хэшированный идентификатор, причина жалобы, принятое решение, время) — для подтверждения добросовестной модерации; необратимый хэш адреса электронной почты используется также для выявления повторных регистраций после блокировки;
• технические журналы сервера, журнал отправки уведомлений и журнал аудита — в пределах сроков, указанных в п. 5.2.

7.5. Уничтожение данных оформляется в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

7.6. Переписка и симпатии в Сервисе при удалении аккаунта удаляются у обоих участников. Удаление аккаунта не затрагивает сведения, которые другие Пользователи сохранили за пределами Сервиса до удаления (например, снимки экрана).

8. Меры защиты персональных данных

8.1. Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 152-ФЗ:

• передача данных между приложением и сервером — по защищённым каналам (TLS);
• снимки проверки фотографий хранятся в закрытом хранилище с шифрованием при хранении (AES-256); доступ модератора — только по временным ссылкам, действующим 5 минут;
• метаданные загружаемых фотографий (EXIF, включая координаты места съёмки) удаляются на сервере при приёме файла;
• резервные копии базы данных и файлов шифруются и хранятся в российском дата-центре (п. 5.5);
• токены обновления сессии хранятся на сервере только в виде хэша SHA-256; на устройстве токены лежат в системном защищённом хранилище (Keychain);
• доступ администраторов и модераторов разграничен по ролям; действия фиксируются в журнале аудита с указанием IP-адреса;
• целостность опубликованных редакций Соглашения и Политики контролируется по контрольной сумме SHA-256 при каждой выдаче документа;
• ограничение частоты запросов (rate-limit) для защиты от перебора кодов и злоупотреблений;
• ведение внутренних документов, предусмотренных ст. 18.1 152-ФЗ: положения об обработке персональных данных и иных локальных актов, акта оценки вреда, акта определения уровня защищённости, порядка уничтожения данных.

8.2. Реагирование на инциденты. При установлении факта неправомерной передачи (утечки) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о факте инцидента и предпринятых мерах и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Если инцидент создаёт высокий риск для Пользователей, Оператор может дополнительно информировать затронутых Пользователей.