Документ 1 из 4
Политика обработки персональных данных
1. Общие положения
1.1. Настоящая Политика определяет порядок обработки персональных данных (далее — ПДн) и меры по их защите, применяемые в отношении сайта ovrly.ru и сервиса Ovrly (далее — Сервис).
1.2. Оператор ПДн — Солдаткин Максим Олегович, применяющий специальный налоговый режим «Налог на профессиональный доход» (самозанятый), ИНН 525821227166 (далее — Оператор). Адрес для корреспонденции: 603140, г. Нижний Новгород, пл. Комсомольская, д. 2, к. 3, кв. 39. Контакты для обращений: ya@s-maksim.ru, @ovrly_control.
1.3. Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), иными нормативными правовыми актами РФ.
1.4. Политика опубликована в свободном доступе по адресу ovrly.ru/legal/privacy и применяется ко всем ПДн, обрабатываемым Оператором.
1.5. Используя Сервис, вы подтверждаете, что ознакомились с Политикой. Обработка, требующая согласия, начинается только после того, как вы проставили отдельную отметку при входе. Согласие оформлено отдельно от иных документов — см. Согласие на обработку ПДн.
1.6. Если вы не согласны с Политикой — не пользуйтесь Сервисом. Уже собранные данные можно удалить по правилам раздела 12.
1.7. Политика не распространяется на сайты и сервисы третьих лиц, включая Twitch, YouTube и сайты, которые вы встраиваете в оверлей. У них свои документы.
2. Термины
- ПДн — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
- Обработка — любое действие с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, блокирование, удаление, уничтожение.
- Оператор — лицо, самостоятельно или совместно с другими лицами организующее обработку ПДн и определяющее её цели и состав.
- Субъект — пользователь Сервиса, чьи ПДн обрабатываются.
- Cookie — небольшой файл, который сайт сохраняет в браузере. Подробнее — в Политике cookie.
3. Принципы обработки
Оператор придерживается принципов ст. 5 152-ФЗ:
- обработка только на законной и справедливой основе;
- ограничение конкретными, заранее определёнными и законными целями;
- соответствие состава и объёма данных целям — без избыточности (минимизация);
- обеспечение точности и достаточности данных;
- хранение не дольше, чем этого требуют цели, если иной срок не установлен законом или договором;
- обеспечение конфиденциальности и безопасности.
Оператор не обрабатывает специальные категории ПДн (раса, здоровье, политические взгляды, религия), биометрические данные и данные о судимости. Оператор не занимается профилированием и не принимает решения, порождающие юридические последствия, исключительно на основании автоматизированной обработки.
4. Какие данные и откуда мы получаем
Оператор получает данные только от вас, от Twitch (после вашей авторизации) и автоматически — из технических журналов.
| Категория | Состав | Источник | Обязательность |
|---|---|---|---|
| Аккаунт Twitch | логин, отображаемое имя, ссылка на аватар | Twitch OAuth после вашего входа | Без этого вход невозможен |
| Токены авторизации | access_token, refresh_token, срок действия | Twitch OAuth | Нужны для работы от вашего имени |
| Сессия | подписанная cookie с логином, отображаемым именем, аватаром и access_token | Формируется Сервисом | Без неё панель не откроется |
| Контент и настройки | токен комнаты, виджеты, медиафайлы и ссылки, приглашённые модераторы (их Twitch-логины) | Вы загружаете и настраиваете | По вашему усмотрению |
| Технические данные | IP-адрес, user-agent, дата и время запроса, адрес страницы | Автоматически, журналы сервера | Обрабатываются для безопасности |
| Обращения | содержание письма в email или Telegram, ваш контакт и логин | Вы сообщаете добровольно | Добровольно |
| Доказательства согласия | дата и время согласия и входа, IP-адрес, user-agent, версия документов; логин — после входа через Twitch | Формируется при входе | Нужны для подтверждения согласия |
Чего мы не делаем: не запрашиваем и не сохраняем адрес электронной почты вашего Twitch-аккаунта, номер телефона, паспортные данные, платёжные реквизиты, геолокацию, контакты и переписку. Пароль Twitch Оператору не передаётся и не хранится.
Сообщения Twitch-чата, которые отображает виджет, транслируются в реальном времени и не сохраняются Оператором. История чата в Сервисе не ведётся.
5. Цели и правовые основания
| Цель | Данные | Основание |
|---|---|---|
| Вход и идентификация через Twitch | логин, имя, аватар, токены | согласие (п. 1 ч. 1 ст. 6 152-ФЗ), исполнение договора — пользовательского соглашения (п. 5 ч. 1 ст. 6) |
| Работа панели, оверлея, виджетов, смайликов и синхронизации | контент, настройки, токены, сессия | исполнение пользовательского соглашения |
| Ответы на обращения и поддержка | контакт, содержание обращения, логин | согласие; исполнение соглашения |
| Безопасность, предотвращение злоупотреблений | IP, user-agent, журналы, события входа | исполнение обязанностей оператора по ст. 19 152-ФЗ; законные интересы Оператора (п. 7 ч. 1 ст. 6) |
| Доказательство получения согласия | журнал согласий | исполнение требований закона и защита прав Оператора (п. 2, 7 ч. 1 ст. 6) |
Оператор не использует данные для рекламы, рассылок, продажи профилей или обучения сторонних моделей без отдельного согласия. Если такие цели появятся, Политика будет изменена до их начала.
6. Согласие и его отзыв
6.1. Согласие даётся свободно, конкретно, информированно и сознательно. При входе вы ставите отдельную отметку и можете ознакомиться с полным текстом — Согласие на обработку ПДн. Отметка по умолчанию не проставлена.
6.2. Согласие действует до его отзыва. Отозвать его можно в любой момент письмом на ya@s-maksim.ru с указанием логина Twitch. Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней, за исключением данных, которые обязан хранить по закону (например, журнал согласий — для защиты прав).
6.3. Отзыв согласия может сделать невозможным вход и работу Сервиса. Это не является нарушением с нашей стороны.
6.4. Согласие на обработку cookie отдельно не требуется: мы используем только строго необходимые cookie. Подробности — в Политике cookie.
7. Cookie и локальное хранилище
Сервис использует минимальный набор cookie: сессию, защиту от CSRF, запоминание адреса возврата и факт согласия. В localStorage хранятся тема оформления и отметка о показе уведомления. Аналитических, рекламных и сторонних tracking-cookie нет.
Полный перечень с названиями и сроками — в Политике использования cookie. Отключить cookie можно в настройках браузера, но тогда вход в панель не работает.
8. Передача данных и поручение обработки
8.1. Оператор не продаёт ПДн и не передаёт их для маркетинга. Передача возможна только в объёме, необходимом для работы Сервиса:
- Хостинг-провайдер — размещает сервер и базы данных на территории РФ, обрабатывает данные по поручению Оператора и не использует их в своих целях;
- Twitch Interactive, Inc. — получает токен и запросы к API, когда Сервис отображает ваш профиль, смайлики и события канала; Twitch обрабатывает данные самостоятельно по своей политике;
- YouTube / Google LLC, 7TV, ivr.fi — только если вы встраиваете соответствующий контент или используете смайлики. Запросы идут напрямую из вашего браузера к этим сервисам;
- Telegram — если вы сами пишете в поддержку;
- dalink.to — если вы переходите на страницу донатов; Сервис не получает ваши платёжные данные.
8.2. Оператор также вправе предоставить данные по мотивированному требованию суда, Роскомнадзора, прокуратуры, следственных органов или иного уполномоченного органа в случаях и порядке, установленных законом.
8.3. При реорганизации проекта данные могут быть переданы правопреемнику при условии сохранения целей и объёма обработки; вы будете уведомлены об этом на Сайте.
9. Трансграничная передача
9.1. Для входа и получения смайликов Сервис обращается к API Twitch Interactive, Inc. (США), передавая токен доступа, который идентифицирует вашу учётную запись. Это необходимо для работы Сервиса и инициируется вашим входом.
9.2. Отдельное согласие на такую передачу вы даёте при входе — оно включено в текст Согласия. Оператор соблюдает требования ст. 12 152-ФЗ: передача осуществляется в объёме, необходимом для авторизации, и только в указанных целях.
9.3. При встраивании контента YouTube и других сайтов соответствующие данные обрабатываются их владельцами; Оператор им ваши ПДн не передаёт.
10. Сроки хранения
| Данные | Срок |
|---|---|
| Сессионная cookie sc_session | до 30 дней или до выхода |
| Служебные cookie входа (sc_oauth_state, sc_next) | до 10 минут |
| Cookie согласия sc_consent | до 1 года |
| Аккаунт, токены, комнаты, контент | пока вы пользуетесь Сервисом; при отсутствии входа 24 месяца данные удаляются |
| Журнал согласий | 3 года с момента входа (для защиты прав Оператора) |
| Технические журналы сервера | до 30 дней |
| Обращения в поддержку | 1 год с момента закрытия обращения |
| Резервные копии | до 30 дней, после чего перезаписываются |
По истечении срока данные удаляются или обезличиваются. Если удаление невозможно технически, данные блокируются до устранения причины.
11. Права субъекта ПДн
Вы вправе:
- получить сведения об обработке и копию своих данных;
- требовать уточнения, блокирования или удаления неточных данных;
- отозвать согласие и потребовать прекращения обработки;
- возразить против обработки, если она не соответствует целям или закону;
- обжаловать действия Оператора в Роскомнадзоре (109074, г. Москва, Китайгородский проезд, д. 7, стр. 2, pd.rkn.gov.ru) или в суде.
Запрос направляется на ya@s-maksim.ru с указанием логина Twitch и сути требования. Оператор вправе запросить подтверждение, что запрос исходит от владельца аккаунта (например, вход через Twitch или ответ из привязанного канала). Срок ответа — 10 рабочих дней; он может быть продлён не более чем на 5 рабочих дней с уведомлением о причине (ч. 2 ст. 20 152-ФЗ). Запросы рассматриваются бесплатно.
12. Удаление аккаунта и данных
12.1. Чтобы удалить аккаунт, напишите на ya@s-maksim.ru с логином Twitch и темой «Удаление аккаунта». Достаточно заявления; объяснять причину не нужно.
12.2. В течение 30 дней Оператор удаляет аккаунт, токены, настройки, контент и приглашения, а также отзывает токены в Twitch, если это технически возможно. Резервные копии перезаписываются в течение 30 дней.
12.3. Не удаляются сведения, которые Оператор обязан хранить по закону, и журнал согласий (в объёме, необходимом для защиты прав). Такие данные блокируются от иного использования.
12.4. Удаление необратимо: восстановить комнаты, виджеты и медиа после удаления нельзя. Сделайте резервную копию заранее.
13. Меры защиты
Оператор принимает правовые, организационные и технические меры:
- передача данных по HTTPS, принудительный HSTS на основном домене;
- сессионная cookie — HttpOnly, SameSite=Lax, подписана HMAC; на HTTPS дополнительно Secure;
- пароли не хранятся: вход только через OAuth Twitch;
- доступ к серверу и данным ограничен, токены хранятся в защищённом каталоге и не публикуются;
- регулярные обновления зависимостей и резервное копирование;
- при инциденте — локализация, оценка ущерба и уведомление Роскомнадзора в течение 24 часов с момента обнаружения, с последующим описанием причин и мер (ст. 21 152-ФЗ).
Абсолютной защиты не существует. Если вы заметили уязвимость, сообщите на ya@s-maksim.ru — мы не будем преследовать исследователей, действующих добросовестно.
14. Несовершеннолетние
Сервис предназначен для лиц старше 18 лет. Оператор сознательно не собирает данные несовершеннолетних. Если такие данные оказались у нас, напишите на ya@s-maksim.ru — мы удалим их в течение 30 дней. Родитель или законный представитель может сделать это за ребёнка.
15. Изменения Политики
15.1. Оператор вправе изменять Политику. Новая редакция публикуется на этой странице с датой и версией; предыдущая доступна по запросу.
15.2. Существенные изменения (новые цели, категории данных, передача третьим лицам) вступают в силу не ранее чем через 7 дней после публикации, а если требуется новое согласие — только после его получения.
15.3. Продолжение использования Сервиса после вступления изменений в силу означает согласие с новой редакцией. Если вы не согласны — прекратите использование и запросите удаление данных.
16. Контакты
Оператор: Солдаткин Максим Олегович, применяющий специальный налоговый режим «Налог на профессиональный доход» (самозанятый), ИНН 525821227166.
Email: ya@s-maksim.ru
Telegram: @ovrly_control
Сайт: ovrly.ru