Политика конфиденциальности

1. Общие положения

Настоящая Политика конфиденциальности описывает, как GoalsHub (далее — «Оператор») собирает, хранит, обрабатывает и защищает персональные данные пользователей (далее — «Субъекты персональных данных»).

2. Локализация данных (РФ)

В соответствии с требованиями 152-ФЗ:

• Серверы расположены в России: Все базы данных с персональными данными граждан РФ хранятся на территории Российской Федерации.
• Первичный сбор: Первичный сбор и запись персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории РФ.
• Передача данных: Передача данных за пределы РФ не осуществляется без письменного согласия пользователя и обеспечения адекватной защиты данных.

3. Отсутствие подрядчиков (Data Processors)

Важная информация о обработке данных:

• Самостоятельная обработка: Все персональные данные обрабатываются непосредственно командой GoalsHub без привлечения третьих лиц.
• Нет подрядчиков: Мы не передаем данные на аутсорс, не используем внешние колл-центры или сервисы аналитики с доступом к ПДн.
• Хостинг: Серверы арендуются у российских провайдеров, но доступ к данным имеет только наша команда (модель IaaS, а не обработка данных).
• OAuth-провайдеры: При входе через Яндекс/Google передаются только минимальные данные (email, ID) для идентификации, что является стандартной практикой аутентификации.
• Сотрудники: Все сотрудники подписывают соглашение о неразглашении (NDA) и проходят инструктаж по безопасности ПДн.

4. Какие данные мы собираем

Мы собираем минимально необходимый набор данных для работы Сервиса:

• Email — для идентификации и связи
• Хеш пароля — для безопасного входа (bcrypt)
• Данные проектов — цели, задачи, KPI, которые вы создаёте
• Технические данные — IP-адрес, браузер, время сессии, cookies
• OAuth данные — при входе через Яндекс/Google (ID, email)

5. Цели обработки данных

Ваши данные используются исключительно для:

• Предоставления доступа к функционалу Сервиса
• Сохранения и синхронизации ваших проектов
• Уведомлений о важных изменениях (сервисные email)
• Улучшения работы Сервиса (анонимная аналитика)
• Выполнения требований законодательства РФ

6. Хранение и защита

Мы применяем современные меры безопасности в соответствии со ст. 19 152-ФЗ:

• Пароли хранятся в хешированном виде (bcrypt)
• Передача данных защищена протоколом HTTPS/TLS
• Сессии авторизации ограничены по времени (JWT-токены)
• Регулярное резервное копирование данных
• Разграничение доступа сотрудников к данным
• Использование сертифицированных средств защиты информации
• Двухфакторная аутентификация для доступа к инфраструктуре
• Шифрование баз данных на уровне дисков

7. Передача данных третьим лицам

Мы не передаём ваши персональные данные третьим лицам, за исключением:

• Сервисов аутентификации (Яндекс, Google) — при использовании OAuth (только email и ID)
• Хостинг-провайдеров (только для размещения на серверах в РФ, без доступа к данным)
• Требований законодательства (по запросу уполномоченных органов РФ)

Важно: Мы не продаём, не арендуем и не передаём данные маркетинговым агентствам, рекламным сетям или аналитическим сервисам.

8. Политика при утечке данных

В случае обнаружения утечки персональных данных мы действуем следующим образом:

8.1. Немедленные меры (0-24 часа)

• Локализация: Изоляция затронутых систем для предотвращения дальнейшей утечки
• Оценка: Определение масштаба инцидента и категорий затронутых данных
• Документирование: Фиксация всех деталей инцидента для расследования
• Уведомление команды: Сбор группы реагирования на инциденты

8.2. Уведомление регуляторов (24-72 часа)

• Роскомнадзор: Уведомление в течение 72 часов с момента обнаружения (если требуется по ст. 16.1 152-ФЗ)
• ФСТЭК: Уведомление для систем категорий К1-К3
• Документация: Предоставление отчёта о причинах и мерах устранения

8.3. Уведомление пользователей (до 5 дней)

• Email-уведомление: Рассылка всем затронутым пользователям
• Информация: Описание инцидента, категории данных, рекомендации по защите
• Поддержка: Выделение отдельного канала для вопросов пострадавших
• Публикация: Размещение информации на сайте в разделе безопасности

8.4. Меры защиты

• Принудительная смена паролей для всех затронутых аккаунтов
• Отзыв токенов сессий и API-ключей
• Усиление мониторинга подозрительной активности
• Временное ограничение некоторых функций при необходимости

8.5. Расследование и отчёт

• Внутреннее расследование: Определение причины и виновных
• Отчёт о мерах: Документирование принятых мер по устранению
• Аудит безопасности: Независимая проверка после инцидента
• Обновление политик: Корректировка процедур для предотвращения повторения

8.6. Контакты при инциденте

При подозрении на утечку данных немедленно сообщите:

• Email: security@goalshub.org

9. Ваши права (ст. 14 152-ФЗ)

Вы имеете право:

• Доступа к своим данным (получить копию всех данных)
• Исправления неточных данных
• Удаления аккаунта и всех данных («право на забвение»)
• Отзыва согласия на обработку персональных данных
• Блокировки данных при обнаружении нарушений
• Обжалования действий Оператора в Роскомнадзор
• Получения информации о всех получателях данных (подтверждаем: их нет)

10. Срок хранения данных

Персональные данные хранятся:

• До момента удаления аккаунта пользователем
• До отзыва согласия на обработку данных
• В течение 3 лет после удаления (для выполнения требований законодательства)
• После чего данные безвозвратно удаляются или анонимизируются

11. Cookies и отслеживание

Сервис использует cookies для:

• Сохранения сессии авторизации
• Запоминания предпочтений пользователя
• Аналитики использования (анонимно)

Вы можете отключить cookies в настройках браузера, но это может ограничить функциональность Сервиса.

12. Контакты для вопросов по ПДн

По вопросам обработки персональных данных вы можете обратиться:

• Общие вопросы: privacy@goalshub.org
• Инциденты безопасности: security@goalshub.org
• Для официальных запросов: legal@goalshub.org

Мы отвечаем на запросы в течение 30 дней в соответствии с 152-ФЗ.

13. Изменения политики

Мы можем обновлять данную Политику конфиденциальности. Актуальная версия всегда размещена на этой странице. При существенных изменениях мы уведомим пользователей через email за 7 дней до вступления в силу.