01Оператор и общие положения
Оператором персональных данных в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» является:
| Тип обращения | Контакт |
|---|---|
| Персональные данные, удаление аккаунта, юридические вопросы | legal@stavafisha.ru |
| Техническая поддержка | support@stavafisha.ru |
Настоящая Политика распространяется на сайт stavafisha.ru и мобильное приложение «Афиша Ставрополья» для Android и iOS, а также на публичные формы подачи заявок без регистрации. Используя Сервис, вы подтверждаете, что ознакомились с Политикой и принимаете её условия.
Законодательная основа: ФЗ № 152-ФЗ «О персональных данных», 242-ФЗ о локализации баз данных граждан РФ, 149-ФЗ «Об информации», 38-ФЗ «О рекламе», требования Роскомнадзора о трансграничной передаче.
02Какие персональные данные мы собираем
2.1 При регистрации и авторизации
| Данные | Цель | Правовое основание | Срок хранения |
|---|---|---|---|
| Email-адрес | Регистрация, OTP-коды, уведомления (победа в лидерборде, сброс пароля) | Согласие + исполнение договора | Весь срок аккаунта. При удалении — анонимизируется |
| Имя / никнейм | Отзывы, лидерборд, публичный профиль. Видно другим пользователям | Согласие + исполнение договора | Весь срок. При удалении → «Удалённый пользователь» |
| Хеш пароля | Аутентификация. Исходный пароль нигде не хранится и не передаётся | Исполнение договора | Весь срок аккаунта. При удалении — удаляется |
| Отметка о согласии на ПД | Фиксация факта, даты и версии согласия (ст. 9 152-ФЗ) | Требование закона | Весь срок аккаунта |
| Код подтверждения | Верификация email, сброс пароля | Исполнение договора; безопасность | 15 минут — удаляется после использования |
2.2 Технические данные сессий и безопасности
| Данные | Цель | Правовое основание | Срок хранения |
|---|---|---|---|
| IP-адрес (авторизация) | Защита от подбора паролей, антифрод, аудит безопасности | Законный интерес (п. 5 ч. 1 ст. 6 152-ФЗ) | 30 дней — в журнале сессий |
| IP-адрес (защита от атак) | Дедупликация просмотров для корректной статистики. Не используется для профилирования | Законный интерес | Несколько часов — автоматическое удаление |
| Идентификатор браузера | Аудит безопасности сессии, обнаружение подозрительных входов | Законный интерес | 30 дней — вместе с токеном сессии |
| Токен сессии (в защищённом виде) | Поддержание активной сессии без повторного ввода пароля. Исходный токен не хранится | Исполнение договора | 30 дней. Удаляется при выходе или смене пароля |
Cookies на сайте: два файла для авторизации — краткосрочный (30 мин) и долгосрочный (30 дней). Устанавливаются при входе, удаляются при выходе.
Мобильное приложение: токены авторизации хранятся в зашифрованном системном хранилище устройства. При выходе из аккаунта удаляются полностью.
2.3 Действия и предпочтения пользователя
| Данные | Цель | Правовое основание | Срок |
|---|---|---|---|
| «Хочу пойти» (going) | Список запланированных событий; push-напоминания | Согласие + исполнение договора | Весь срок аккаунта |
| «Сохранить» (saved) | Быстрый доступ к избранным мероприятиям | Согласие + исполнение договора | Весь срок аккаунта |
| История просмотров | Персонализация раздела «Для вас» | Согласие | Весь срок аккаунта |
| Подписки на организаторов | Уведомления о новых событиях | Согласие + исполнение договора | До отписки или удаления аккаунта |
| Очки и достижения | Программа лояльности, лидерборд, розыгрыш призов | Исполнение договора | Весь срок. При удалении — анонимизируются |
2.4 Геолокационные данные
Сайт — «Рядом со мной» и карта: браузер запрашивает разрешение. Координаты используются только для текущего запроса поиска событий или отображения карты. На сервере не сохраняются. Кеш остаётся в памяти браузера и удаляется при закрытии вкладки.
Мобильное приложение — GPS-чекин (кнопка «Я здесь! Подтвердить по GPS»): приложение на 1–2 секунды получает текущие координаты и сравнивает их с местом проведения события (радиус ±150 м). Координаты и время чекина сохраняются на сервере на весь срок аккаунта + 30 дней.
2.5 Данные чекинов и посещений
| Данные | Цель | Правовое основание | Срок |
|---|---|---|---|
| Способ подтверждения (QR / GPS / самоотчёт), время, факт посещения | Начисление очков; право оставить отзыв | Согласие + исполнение договора | Весь срок аккаунта + 30 дней |
| GPS-координаты (только при подтверждении по GPS) | Верификация нахождения у места проведения | Явное согласие | Весь срок аккаунта + 30 дней |
2.6 Отзывы
| Данные | Публичность | После удаления аккаунта |
|---|---|---|
| Текст отзыва (до 2000 символов) | Да | Сохраняется в обезличенной форме — автор: «Удалённый пользователь» |
| Оценка (1–5 звёзд) | Да | Сохраняется |
| Имя и аватар автора | Да | Заменяется на «Удалённый пользователь», аватар удаляется |
2.7 Данные организаторов
| Данные | Цель | Публичность | Срок |
|---|---|---|---|
| Название организации / имя ИП | Публичный профиль организатора | Да | Весь срок аккаунта |
| ИНН рекламодателя | Идентификация, маркировка рекламы (38-ФЗ) | Нет | 1 год с окончания последнего размещения |
| Контакты (телефон, email, соцсети) | Связь пользователей с организатором. Добавляются добровольно | Да (если добавлено) | Весь срок аккаунта |
| Факт и версия принятия оферты | Фиксация юридически значимого согласия | Нет | Весь срок аккаунта |
2.8 Мобильное приложение — push-уведомления и камера
| Данные | Цель | Правовое основание | Срок |
|---|---|---|---|
| Идентификатор устройства | Адресная доставка push-уведомлений через сервис OneSignal (США). При авторизации связывается с аккаунтом — становится косвенными ПД | Согласие на уведомления | До отписки или удаления аккаунта |
Управление уведомлениями: главный переключатель в настройках приложения полностью отключает доставку. Доступна тонкая настройка по типам. Разрешение можно отозвать в системных настройках Android / iOS.
Камера — запрашивается только для сканирования QR-кодов при чекине. Фотографии не создаются, не сохраняются, не передаются.
2.9 Публичные формы заявок (без авторизации)
Формы «Предложить заведение» и «Предложить досуг» — для владельцев заведений без регистрации. Запрашиваются: название и адрес заведения, email заявителя (обязательно), телефон и описание (по желанию).
2.10 Аналитика (Яндекс.Метрика)
На сайте используется Яндекс.Метрика (Россия) — активируется только после нажатия «Принять» в cookie-баннере. В мобильном приложении Яндекс.Метрика не используется.
| Данные | Цель |
|---|---|
| Посещённые страницы, источники трафика, поведение на сайте | Анализ аудитории, улучшение сервиса |
| Видеозаписи сессий — движения мыши, клики, прокрутка (Вебвизор) | Анализ удобства использования. Данные обрабатываются серверами Яндекса в обезличенном виде |
Отказ от обработки: yandex.ru/support/metrika/general/opt-out.html
03Файлы cookie и аналитика
| Cookie | Назначение | Срок |
|---|---|---|
| Авторизация (краткосрочный) | Подтверждает, что вы вошли в аккаунт | 30 минут |
| Авторизация (долгосрочный) | Позволяет оставаться в аккаунте без повторного входа | 30 дней |
Аналитические cookie (Яндекс.Метрика) активируются только после нажатия «Принять» в cookie-баннере. Для отказа — настройки браузера или инструмент Яндекса. Отключение технически необходимых cookie сделает вход в аккаунт невозможным.
04Системные email-уведомления
Письма отправляются через российский сервис электронной почты. Отправитель: noreply@stavafisha.ru
| Тип | Когда | Содержит |
|---|---|---|
| Верификация email | При регистрации | Одноразовый код подтверждения |
| Сброс пароля | По вашему запросу | Одноразовый код для сброса пароля |
| Победа в лидерборде | 1-го числа каждого месяца | Место в рейтинге, описание приза, код получения. Не содержит пароль или платёжные данные |
05Передача персональных данных третьим лицам
| Получатель | Страна | Что передаётся | Цель |
|---|---|---|---|
| Яндекс Object Storage | 🇷🇺 Россия | Файлы изображений: аватары, логотипы, обложки | Хранение медиафайлов |
| Яндекс.Метрика | 🇷🇺 Россия | Данные о посещениях, поведение на сайте, видеозаписи сессий | Веб-аналитика (только сайт) |
| SMTP.BZ | 🇷🇺 Россия | Email получателя, текст системного письма | Доставка кодов подтверждения и уведомлений |
| DaData | 🇷🇺 Россия | ИНН организатора или рекламодателя | Автозаполнение реквизитов по ИНН |
| ЮKassa | 🇷🇺 Россия | Email для направления кассового чека, сумма и тип заказа. Данные банковской карты обрабатывает ЮKassa напрямую и на наши серверы не передаёт | Приём платежей; формирование и направление фискального чека (54-ФЗ) |
| OneSignal | 🇺🇸 США | Идентификатор (токен) устройства, текст уведомления | Push-уведомления в мобильном приложении |
| Google LLC — Firebase Cloud Messaging | 🇺🇸 США | Токен устройства и текст уведомления — получает от OneSignal | Доставка push-уведомлений на устройства Android |
Ряд внешних сервисов персональных данных не получает: ВКонтакте и Telegram Bot API — только публичный контент сообществ и каналов; OpenStreetMap (Nominatim, Великобритания) — публичный адрес заведения по запросу нашего сервера; DeepSeek и OpenAI (через российский сервис-посредник AITunnel) — только тексты публичного контента и инструкции для генерации изображений.
6.1 Трансграничная передача (ст. 12 152-ФЗ)
Персональные данные передаются на территорию Соединённых Штатов Америки: сервису push-уведомлений OneSignal и компании Google LLC (Firebase Cloud Messaging), выполняющей фактическую доставку уведомлений на устройства Android. Состав передаваемых данных — идентификатор (токен) устройства и текст уведомления. Цель — доставка push-уведомлений в мобильном приложении.
США не включены в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных. Правовое основание передачи — ваше согласие (ч. 4 ст. 12 152-ФЗ), выраженное при разрешении уведомлений; отозвать его можно, отключив уведомления в настройках приложения или операционной системы. Политика OneSignal: onesignal.com/privacy_policy
6.2 Сервер парсера (Финляндия)
Сервер парсинга в Финляндии обрабатывает только публичные названия организаторов и тексты публичных постов из VK/Telegram. Email, пароли, ИНН, GPS-координаты, платёжные данные — на этот сервер не передаются.
06Хранение и защита данных
7.1 Локализация данных (242-ФЗ)
Первичная запись, систематизация, хранение и обработка персональных данных граждан РФ осуществляются с использованием баз данных на территории Российской Федерации.
| Что хранится | Где | Состав |
|---|---|---|
| Основная база данных | VPS Москва, Россия | Все персональные данные: аккаунты, история действий, GPS-координаты чекинов, отзывы, данные организаторов и рекламодателей, журналы безопасности |
| Краткосрочный кеш безопасности | VPS Москва, Россия | Счётчики защиты от атак (TTL: несколько часов, автоудаление) |
| Медиафайлы | Яндекс Object Storage, Россия | Аватары, логотипы, обложки событий |
| Резервные копии | Яндекс Object Storage (холодное хранение), Россия | Зашифрованные резервные копии базы данных. Срок: 30 дней |
| Данные парсера | EU VPS, Финляндия | Только публичные названия организаторов и тексты публичных постов |
7.2 Технические меры защиты
| Мера | Описание |
|---|---|
| HTTPS / TLS | Все соединения зашифрованы. HTTP автоматически перенаправляется на HTTPS |
| Хеширование паролей | Надёжное криптографическое хеширование. Исходный пароль нигде не хранится и не передаётся |
| Хеширование токенов сессий | Токены сессий хранятся только в виде необратимого хеша |
| Зашифрованное хранилище устройства | Токены авторизации в мобильном приложении хранятся в системном защищённом хранилище |
| Маскировка данных в журналах | Email в технических журналах отображается в обезличенном виде |
| Защита от подбора | Ограничение частоты запросов с одного IP — защита от брутфорса и перебора кодов |
| Шифрование резервных копий | Резервные копии шифруются перед отправкой в облачное хранилище |
| Автоматическая фильтрация контента | Тексты, передаваемые во внешние AI-сервисы, проходят многоуровневую автоматическую фильтрацию |
07Сводная таблица сроков хранения данных
| Категория данных | Срок хранения | Правовое основание |
|---|---|---|
| Email, имя, хеш пароля | Весь срок аккаунта + 30 дней после запроса на удаление | Исполнение договора |
| Отметка о согласии на ПД | Весь срок аккаунта | Требование 152-ФЗ |
| Одноразовые коды подтверждения (OTP) | 15 минут — удаляются после использования или по истечении | Технически необходимо |
| Токен сессии (в защищённом виде) | 30 дней. Инвалидируется при выходе или смене пароля | Исполнение договора |
| IP-адрес и идентификатор браузера (журнал сессий) | 30 дней — вместе с токеном | Законный интерес |
| IP-адрес (краткосрочный кеш безопасности) | Несколько часов — автоматическое удаление | Законный интерес |
| История действий (going / saved / viewed) | Весь срок аккаунта + 30 дней | Исполнение договора |
| GPS-координаты чекинов | Весь срок аккаунта + 30 дней | Согласие |
| Отзывы пользователей | Бессрочно в обезличенной форме после удаления аккаунта | Законный интерес |
| Аватар (фото профиля) | До удаления пользователем или удаления аккаунта | Согласие |
| Идентификатор устройства (push-уведомления) | До отписки от уведомлений или удаления аккаунта | Согласие |
| ИНН и данные рекламодателя | 1 год с момента окончания рекламного размещения | Требование 38-ФЗ |
| События организатора после удаления аккаунта | До 60 дней в архиве (удаление выполняется вручную по запросу на legal@stavafisha.ru), затем удаляются | Оферта для организаторов |
| Данные из публичных форм заявок | Не сохраняются в базе данных. На email администратора — до рассмотрения заявки | Согласие |
| Резервные копии базы данных | 30 дней | Законный интерес |
08Данные несовершеннолетних
- Минимальный возраст использования Сервиса — 14 лет.
- Пользователи от 14 до 18 лет обязаны получить согласие родителей или законных представителей на использование Сервиса и обработку своих персональных данных.
- Платформа не проводит техническую верификацию возраста. Ответственность за достоверность сведений о возрасте несёт сам пользователь или его законные представители.
- Если Оператору станет известно, что аккаунт создан пользователем младше 14 лет — аккаунт будет незамедлительно заблокирован, а все связанные персональные данные удалены.
09Ваши права как субъекта персональных данных
В соответствии со статьями 14–17 Федерального закона № 152-ФЗ. Для реализации прав направьте обращение на legal@stavafisha.ru с указанием email вашего аккаунта. Срок ответа — 30 календарных дней.
| Право | Что означает | Как реализовать |
|---|---|---|
| Право на доступ (ст. 14) | Получить информацию о том, какие данные обрабатываются, на каком основании и с какой целью | Запрос на legal@stavafisha.ru |
| Право на уточнение (ст. 21) | Потребовать исправления неточных или устаревших данных | Через личный кабинет или запрос на email |
| Право на удаление (ст. 21) | «Право быть забытым» — удаление или обезличивание персональных данных | Запрос на legal@stavafisha.ru |
| Право на отзыв согласия (ст. 9) | Отозвать согласие. Не влияет на законность обработки, произведённой до отзыва | Запрос на legal@stavafisha.ru |
| Право на ограничение обработки (ст. 21) | Потребовать прекращения отдельных действий с данными на период рассмотрения запроса | Запрос на legal@stavafisha.ru |
| Право на возражение (ст. 21) | Возразить против обработки данных, основанной на законном интересе Оператора | Запрос на legal@stavafisha.ru |
| Право на получение данных | Запросить копию своих персональных данных | Запрос на legal@stavafisha.ru |
| Право на жалобу | Обратиться в Роскомнадзор, если считаете, что права нарушены | rkn.gov.ru |
10.1 Самостоятельное управление в личном кабинете
- Изменить имя / никнейм
- Загрузить, заменить или удалить аватар
- Изменить пароль (все активные сессии инвалидируются)
- Управлять настройками push-уведомлений в мобильном приложении
10.2 Удаление персональных данных
Для удаления аккаунта направьте запрос на legal@stavafisha.ru. Мы обработаем его в течение 30 дней: деактивируем аккаунт, анонимизируем email и имя, удалим фото профиля, хеш пароля, GPS-координаты чекинов, историю действий и идентификатор устройства. Отзывы сохраняются в обезличенной форме, анонимные очки активности — для статистики платформы.
10Уведомления об изменениях Политики
- Оператор вправе вносить изменения в настоящую Политику в одностороннем порядке. Актуальная версия всегда доступна по адресу stavafisha.ru/privacy.
- При существенных изменениях мы уведомим вас по электронной почте или через push-уведомление в мобильном приложении заблаговременно до вступления изменений в силу.
- Продолжение использования Сервиса после обновления Политики означает ваше согласие с принятыми изменениями.
- Предыдущие версии Политики доступны по запросу на legal@stavafisha.ru.