Политика конфиденциальности сервиса «Ситихоп»

Общие положения и термины

Настоящая Политика является общедоступным документом и определяет порядок обработки и защиты персональных данных физических лиц (далее — «Пользователи»), использующих веб-сервис «Ситихоп» (Cityhop) — онлайн-карту интересных мест, видов, объектов архитектуры, музеев, парков, кафе и скрытых уголков города с возможностью добавления мест, отзывов, маршрутов и общения с ИИ-гидом.

В Политике используются следующие основные термины в значениях, установленных Федеральным законом № 152-ФЗ:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому Пользователю.
• Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без таковых (сбор, запись, систематизация, накопление, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение).
• Оператор — лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых данных (см. раздел «Оператор и способы связи»).
• Пользователь — субъект персональных данных, посетитель или зарегистрированный пользователь сервиса «Ситихоп».

Обработка персональных данных осуществляется на законной и справедливой основе и ограничивается достижением конкретных, заранее определённых и законных целей, указанных в настоящей Политике.

Оператор и способы связи

Оператором персональных данных, обрабатываемых в связи с использованием сервиса «Ситихоп», является:

• Оператор: Абрамов Артём Сергеевич;
• ИНН: 660704986218;
• Адрес для направления обращений (в том числе по вопросам персональных данных): support@cityhop.ru.

Контактный адрес электронной почты для связи с Оператором, направления запросов, отзыва согласия и реализации прав субъекта персональных данных: support@cityhop.ru.

Категории обрабатываемых персональных данных

В зависимости от того, как Пользователь взаимодействует с сервисом, «Ситихоп» может обрабатывать следующие категории данных.

Регистрационные и учётные данные:

• имя (и, при указании, фамилия);
• адрес электронной почты (email);
• публичный уникальный псевдоним — @тег (например, @username);
• изображение профиля (аватар), загружаемое Пользователем или получаемое из профиля ВКонтакте при входе через VK ID;
• интересы (выбранные при регистрации категории мест), используемые для рекомендаций;
• признак наличия прав администратора и признак включённой двухфакторной аутентификации.

Данные аутентификации и безопасности: хеш и «соль» пароля (сам пароль в открытом виде не хранится), одноразовый код подтверждения email (хранится только в виде хеша), секрет двухфакторной аутентификации (TOTP), токен сессии и срок её действия.

Данные о геолокации и посещениях:

• сведения об открытых Пользователем городах (название и ключ города, координаты центра, радиус поиска, даты первого обнаружения и последнего посещения) — раздел «Мои открытия»;
• сведения о посещениях мест (факт нахождения рядом с местом, статус посещения, дата обнаружения и подтверждения, расстояние до места);
• географические координаты Пользователя (широта и долгота), определяемые браузером при явном разрешении, — используются для отображения ближайших мест на карте, отметки посещений и подбора рекомендаций ИИ-гидом. Определение города по координатам выполняется в браузере через сторонний сервис геокодирования (см. раздел о передаче данных обработчикам и третьим лицам).

Пользовательский контент: добавляемые Пользователем места (название, описание, категории, теги, часы работы, даты событий, координаты, фотографии), отзывы и оценки (текст, рейтинг, приложенные фото или видео), реакции на места и фотографии, отметки «Я пойду!», маршруты (в том числе созданные ИИ-гидом), жалобы на места и уведомления.

Переписка с ИИ-гидом: текст сообщений, которые Пользователь отправляет виртуальному ассистенту «ИИ-гид», а также контекст запроса (текущий город, при наличии — координаты для подбора ближайших мест).

Технические данные и данные веб-аналитики: файлы cookie, IP-адрес (используется, в частности, для ограничения частоты запросов), сведения об устройстве и браузере, действия на страницах сайта, собираемые системой веб-аналитики (см. соответствующие разделы).

Данные, получаемые при входе через ВКонтакте (VK ID): идентификатор пользователя ВКонтакте (vk_user_id), имя и фамилия, адрес электронной почты и ссылка на аватар — в объёме, предоставленном сервисом VK ID по результатам авторизации.

Журнал действий: в целях модерации и обеспечения безопасности сохраняется служебный журнал ключевых действий (регистрация, вход, изменения профиля и мест, отзывы, жалобы, действия модерации) с указанием исполнителя действия (имя, email на момент действия).

Оператор не запрашивает и целенаправленно не обрабатывает специальные категории персональных данных (о состоянии здоровья, расовой или национальной принадлежности, политических, религиозных и иных убеждениях). Пользователю не следует размещать такие сведения в пользовательском контенте или в переписке с ИИ-гидом.

Правовые основания и цели обработки

Обработка персональных данных осуществляется на следующих правовых основаниях, предусмотренных Федеральным законом № 152-ФЗ:

• согласие Пользователя на обработку его персональных данных (в том числе согласие, выражаемое при регистрации, использовании отдельных функций и при использовании файлов cookie);
• необходимость исполнения договора (пользовательского соглашения), стороной которого является Пользователь, — для предоставления функций сервиса;
• осуществление прав и законных интересов Оператора или третьих лиц (обеспечение безопасности, предотвращение злоупотреблений, модерация контента), если при этом не нарушаются права и свободы Пользователя;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

Персональные данные обрабатываются в следующих целях:

• регистрация и аутентификация Пользователя, ведение учётной записи и обеспечение входа, в том числе через VK ID;
• подтверждение адреса электронной почты при регистрации;
• предоставление функций сервиса: отображение карты и мест, добавление и модерация мест, публикация отзывов, оценок и реакций, ведение маршрутов, отметок «Я пойду!» и уведомлений;
• работа раздела «Мои открытия» и отметки посещённых мест на основе геолокации;
• работа виртуального ассистента «ИИ-гид» и подбор рекомендаций;
• обеспечение информационной безопасности, защита от несанкционированного доступа, мошенничества и злоупотреблений, ограничение частоты запросов;
• модерация пользовательского контента и рассмотрение жалоб;
• сбор обезличенной статистики и улучшение работы сервиса посредством веб-аналитики;
• направление сервисных сообщений (например, кода подтверждения регистрации) и обработка обращений Пользователей;
• исполнение требований законодательства Российской Федерации.

Оператор не принимает решений, порождающих юридические последствия в отношении Пользователя или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.

Файлы cookie и файл сессии cityhop_session

Сервис «Ситихоп» использует файлы cookie и аналогичные технологии для обеспечения работы сайта, аутентификации и веб-аналитики.

Ключевым является технический файл сессии cityhop_session. Он содержит токен авторизованной сессии Пользователя и необходим для входа в учётную запись и работы защищённых функций. Файл сессии устанавливается с параметрами безопасности:

• HttpOnly — cookie недоступен из клиентских скриптов, что снижает риск его кражи;
• SameSite=Lax — ограничивает отправку cookie при межсайтовых запросах;
• Secure — в рабочей (production) среде cookie передаётся только по защищённому соединению HTTPS;
• срок действия — до 30 дней с момента установки.

Файл сессии cityhop_session является строго необходимым для работы сервиса: без него авторизация невозможна. Иные cookie (в частности, устанавливаемые системой веб-аналитики) используются для сбора статистики и могут быть отключены средствами браузера. Отключение или удаление cookie может ограничить доступность отдельных функций сервиса. Некоторые пользовательские настройки (например, последний определённый город) сохраняются средствами локального хранилища браузера.

Веб-аналитика: Яндекс.Метрика и Вебвизор

На сайте «Ситихоп» используется система веб-аналитики Яндекс.Метрика (оператор — ООО «ЯНДЕКС»). Счётчик Яндекс.Метрики загружается на страницах сайта и собирает обезличенные сведения о посещениях: данные об устройстве и браузере, источниках переходов, просмотренных страницах и совершённых на них действиях, включая карту кликов и отслеживание переходов по ссылкам.

В сервисе включена технология Вебвизор — она позволяет записывать действия Пользователя на странице (перемещения указателя, прокрутку, клики, ввод в поля) для последующего анализа поведения и улучшения удобства сайта. Пользователю не следует вводить в открытые поля страниц конфиденциальную информацию, не предусмотренную функциональностью сервиса.

Сбор и обработка данных Яндекс.Метрикой осуществляются в соответствии с условиями и политикой конфиденциальности сервиса Яндекс.Метрика. Пользователь может ограничить сбор таких данных, отключив cookie или используя специальные средства и дополнения браузера (в том числе блокировщик, предоставляемый оператором Яндекс.Метрики).

Передача данных обработчикам и третьим лицам

Оператор не продаёт персональные данные Пользователей. Для работы отдельных функций сервиса привлекаются сторонние поставщики услуг, которым данные передаются в необходимом и достаточном для соответствующей цели объёме:

• Яндекс.Метрика (ООО «ЯНДЕКС») — веб-аналитика; передаются технические и поведенческие данные о посещении сайта, включая записи действий на странице (Вебвизор).
• VK ID (при входе через ВКонтакте) — авторизация; сервис получает от VK идентификатор пользователя, имя, фамилию, email и ссылку на аватар. Обработка данных на стороне ВКонтакте регулируется документами соответствующего сервиса.
• OpenAI (для работы «ИИ-гида») — при использовании виртуального ассистента сообщения переписки Пользователя (текст запросов и предшествующих сообщений диалога, а также сведения о текущем городе) пересылаются на серверную сторону сервиса и далее передаются в API OpenAI для формирования ответа. Ключ доступа к API хранится только на сервере и не передаётся в браузер.
• Сервис доставки электронной почты (SMTP) — для отправки сервисных писем (например, кода подтверждения регистрации) адрес электронной почты и содержимое письма передаются используемому Оператором почтовому сервису.
• Картографический сервис Mapbox — для отображения интерактивной карты; при загрузке карты браузер Пользователя обращается к серверам Mapbox, которым могут стать доступны технические данные запроса (в том числе IP-адрес и сведения об области карты).
• Сервис геокодирования (OpenStreetMap Nominatim) — для определения названия города по координатам браузер Пользователя направляет географические координаты стороннему сервису геокодирования.

Персональные данные также могут быть предоставлены уполномоченным государственным органам по основаниям и в порядке, установленным законодательством Российской Федерации. С привлекаемыми обработчиками Оператор обеспечивает соблюдение требований конфиденциальности и безопасности данных.

Трансграничная передача данных

Отдельные привлекаемые сервисы могут осуществлять обработку данных на серверах, расположенных за пределами территории Российской Федерации. В частности, обработка запросов виртуального ассистента через API OpenAI, а также обращение к зарубежным картографическим сервисам и сервисам геокодирования может предполагать трансграничную передачу персональных данных.

Трансграничная передача осуществляется с учётом требований статьи 12 Федерального закона № 152-ФЗ. До начала такой передачи Оператор при необходимости уведомляет уполномоченный орган по защите прав субъектов персональных данных и убеждается в наличии надлежащих условий обеспечения прав субъектов персональных данных, а в требуемых случаях — получает согласие Пользователя на трансграничную передачу. Пользователю следует учитывать, что при использовании функций «ИИ-гид» и картографических сервисов данные могут обрабатываться на территории иностранных государств.

Сроки хранения данных и удаление аккаунта

Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законодательством Российской Федерации.

• Данные учётной записи и связанный с ней пользовательский контент хранятся в течение всего срока действия аккаунта.
• Сессии имеют ограниченный срок действия (до 30 дней), просроченные сессии автоматически удаляются.
• Одноразовые коды подтверждения email являются краткосрочными и удаляются после использования или истечения срока действия.

Удаление аккаунта. Пользователь может удалить свой аккаунт в сервисе (с подтверждением паролем). Аккаунт также может быть удалён администратором. Применяется механизм «мягкого удаления»: сразу после удаления учётная запись деактивируется, вход в неё блокируется, а активные сессии аннулируются, однако данные сохраняются в течение 30 дней на случай восстановления. По истечении 30 дней аккаунт и связанные с ним данные подлежат полному и безвозвратному удалению автоматической процедурой очистки. В течение указанного 30-дневного периода аккаунт может быть восстановлен администратором по обращению Пользователя.

Отдельные обезличенные статистические данные веб-аналитики могут храниться дольше в соответствии с условиями сервиса аналитики, поскольку не позволяют идентифицировать конкретного Пользователя.

Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий. В частности, применяются:

• Безопасное хранение паролей — пароли не хранятся в открытом виде; применяется криптографическое хеширование по алгоритму PBKDF2 (HMAC-SHA256) с уникальной «солью» и большим числом итераций. Аналогичным образом хешируются одноразовые коды подтверждения email.
• Двухфакторная аутентификация (2FA) — Пользователь может включить дополнительный уровень защиты входа на основе одноразовых кодов (TOTP).
• Защита файла сессии — cookie cityhop_session устанавливается с флагами HttpOnly и SameSite=Lax, а в рабочей среде — с флагом Secure (передача только по HTTPS); в рабочей среде также применяются перенаправление на HTTPS и механизм HSTS.
• Ограничение частоты запросов (rate limiting) — для защиты от подбора паролей, массовых регистраций и злоупотреблений применяется ограничение количества попыток входа, регистрации, отправки кодов, проверки 2FA, обращений к «ИИ-гиду» и входа через VK.
• Иные меры — заголовки безопасности (в том числе политика безопасности контента), ограничение доступа к данным по ролям, ведение журнала действий, а также передача данных «ИИ-гида» и почтовых сообщений с серверной стороны без раскрытия ключей доступа в браузере.

Права субъекта персональных данных и порядок их реализации

В соответствии с Федеральным законом № 152-ФЗ Пользователь как субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в том числе сведения о целях, способах и сроках обработки, а также о лицах, которым данные могут быть переданы;
• требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать ранее данное согласие на обработку персональных данных;
• возражать против обработки и требовать прекращения обработки персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Значительную часть данных Пользователь может изменить или удалить самостоятельно в личном кабинете (профиль, аватар, добавленный контент), а также удалить аккаунт целиком.

Для реализации иных прав, отзыва согласия или получения информации Пользователь может направить запрос на адрес support@cityhop.ru или по адресу Оператора, указанному в разделе «Оператор и способы связи». Запрос должен содержать сведения, позволяющие идентифицировать Пользователя и подтвердить его личность (или полномочия представителя). Оператор рассматривает обращение и предоставляет ответ в сроки, установленные законодательством Российской Федерации. Отзыв согласия может повлечь невозможность предоставления отдельных функций сервиса или удаление аккаунта.

Обработка данных несовершеннолетних

Сервис «Ситихоп» не предназначен для использования детьми младшего возраста и не осуществляет целенаправленный сбор персональных данных несовершеннолетних без согласия их законных представителей. Регистрируясь и используя сервис, Пользователь подтверждает, что обладает необходимой дееспособностью, а в случаях, предусмотренных законодательством, — что обработка его данных осуществляется с согласия родителей или иных законных представителей.

Если Оператору станет известно, что персональные данные несовершеннолетнего были предоставлены без необходимого согласия законного представителя, такие данные будут удалены. Законные представители, полагающие, что несовершеннолетний предоставил персональные данные без их согласия, могут обратиться к Оператору по адресу support@cityhop.ru для их удаления.

Изменение Политики конфиденциальности

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики всегда размещается на сайте cityhop.ru с указанием даты вступления в силу. Существенные изменения могут дополнительно доводиться до Пользователей доступными способами.

Продолжение использования сервиса «Ситихоп» после вступления в силу изменений означает согласие Пользователя с обновлённой редакцией Политики. Рекомендуем периодически знакомиться с текстом Политики. По всем вопросам, связанным с настоящей Политикой и обработкой персональных данных, обращайтесь по адресу support@cityhop.ru.