Политика конфиденциальности

Настоящая Политика конфиденциальности описывает, как мы собираем, используем, храним и защищаем персональные данные пользователей сервиса (плагин для Visual Studio Code, веб-сайт, будущие мобильные приложения).

Соответствие GDPR: Настоящая политика составлена в соответствии с Регламентом (ЕС) 2016/679 (General Data Protection Regulation, GDPR). При обработке персональных данных мы руководствуемся принципами, изложенными в Статье 5 GDPR.

1. Оператор данных

Оператор персональных данных — юридическое лицо (владелец сервиса). Сервера расположены в Швеции, в Европейском союзе. Оператор соблюдает требования GDPR (General Data Protection Regulation) и применимые законы ЕС.

См. Статья 4(7) GDPR — определение контроллера данных.

2. Пользователи

Пользователями являются разработчики. Возраст пользователей не проверяется, поэтому сервис не гарантирует отсутствие пользователей младше 18 лет.

См. Статья 8 GDPR — условия согласия в отношении информационных услуг общества.

3. Регистрация

Для доступа к сервису пользователи могут регистрироваться следующими способами:

• Логин + пароль
• Email
• Социальная авторизация: GitHub, Google, Telegram

См. Статья 6(1)(a) GDPR — согласие субъекта данных на обработку.

4. Какие данные собираются

Сервис собирает следующие данные:

• Персональные: email, username, пароль, аватар, User ID (для Telegram)
• Технические: IP-адрес, время активности, количество написанных строк, языки программирования
• Данные соцсетей при регистрации через GitHub и Google: username, email, аватар
• API-ключи (бессрочные, можно перегенерировать, хранение в базе в чистом виде; в будущем будет хеширование и возможность отзыва)

Примечание: никакие финансовые данные не собираются.

См. Статья 4(1) GDPR — определение персональных данных.

5. Цели обработки данных

Персональные данные используются исключительно для:

• Аутентификации и идентификации пользователя
• Подтверждения, что пользователь — это тот, за кого себя выдаёт
• Обеспечения работы плагина, веб-сайта и будущих приложений
• Технической поддержки и восстановления аккаунта

См. Статья 5(1)(b) GDPR — ограничение цели обработки данных.

6. Логи и аналитика

• Логи пользователей хранятся в зависимости от законодательства: от 1 до 6 лет (при финансовых операциях — до 12 лет)
• Логи содержат IP-адреса, время активности, ошибки и технические данные
• User-agent пока не сохраняется
• Аналитические/маркетинговые куки и трекинг не используются; применяются только технически необходимые сессионные куки

См. Статья 5(1)(e) GDPR — ограничение хранения данных.

7. Права пользователей

Пользователь имеет право:

• Право доступа — запросить копию всех своих данных (будет реализовано в будущем)
• Право на исправление — исправлять свои данные: никнейм, аватар, email
• Право на удаление — удалять аккаунт полностью (все данные удаляются, резервные копии не сохраняются, отозвать удаление невозможно)
• Право на отзыв согласия — отозвать согласие на обработку данных, что в будущем реализуется через функционал управления аккаунтом
• Право на ограничение обработки — в определенных случаях пользователь может запросить ограничение обработки своих данных
• Право на переносимость данных — получить свои данные в структурированном формате
• Право на возражение — возражать против обработки данных в определенных случаях

См. Глава III GDPR (Статьи 15-22) — права субъекта данных.

8. Хранение и защита данных

• Данные хранятся на серверах в Швеции
• Передача данных осуществляется через защищённый протокол HTTPS
• Применяются меры безопасности для защиты данных от несанкционированного доступа

См. Статья 32 GDPR — безопасность обработки данных.

9. API-ключи

• Бессрочные, могут быть перегенерированы пользователем
• Хранятся в чистом виде (в будущем — хеширование)
• Невозможно отозвать ключ на текущем этапе (будет реализовано позже)

10. Интеграции с третьими сторонами

Telegram, Google, GitHub используются только для аутентификации. Данные передаются минимально: username, email, аватар, User ID (Telegram). Пользователь сам выбирает, через какую площадку восстановить пароль.

См. Статья 28 GDPR — обработчики данных.

11. Восстановление пароля

• В будущем будет реализована функция "Забыл пароль"
• Пользователь получает одноразовую защищённую ссылку на email или через соц. площадку
• После подтверждения пользователь меняет пароль

12. Уведомление о нарушениях

В случае нарушения безопасности персональных данных, которое может привести к высокому риску для прав и свобод физических лиц, мы уведомим соответствующий надзорный орган в течение 72 часов после обнаружения нарушения, а также затронутых пользователей, если это необходимо.

См. Статьи 33-34 GDPR — уведомление о нарушении безопасности персональных данных.

13. Изменения политики

Мы оставляем за собой право обновлять Политику конфиденциальности. Актуальная версия всегда доступна пользователям. О существенных изменениях пользователи будут уведомлены заранее.

См. Статья 13(2)(c) GDPR — информация об изменениях политики.

14. Контакты

По вопросам конфиденциальности, для реализации своих прав в соответствии с GDPR, а также для подачи жалоб пользователь может связаться с нами через официальные каналы сервиса.

См. Статья 13(1)(a) GDPR — контактные данные контролера.

15. Право на подачу жалобы

Пользователь имеет право подать жалобу в надзорный орган по защите данных, если считает, что обработка его персональных данных нарушает GDPR. В Швеции таким органом является Integritetsskyddsmyndigheten (IMY).

См. Статья 77 GDPR — право на подачу жалобы в надзорный орган.