Как написать политику конфиденциальности для приложения

Политика конфиденциальности уведомляет пользователей мобильного приложения о персональных данных, собираемых в результате использования ими мобильного приложения.

Персональные данные — это информация о пользователях мобильного приложения (ФИО, дата рождения, номер, электронная почта и тп), которые позволяют идентифицировать конкретного пользователя.

Документ может быть использован юридическими и/или физическими лицами, которым принадлежат исключительные имущественные права обладания мобильным приложением (далее «Правообладатель»).

Целью настоящего документа также является донести пользователям (1) вид/тип собираемой персональной информации; и (2) методы и способы сбора персональной информации; и (3) цели, для которых происходит сбор персональной информации; и (4) сроки хранения такой персональной информации, а также права пользователей; и (5) перечень лиц, которые могут получить доступ к передаваемой персональной информации.

Данная Политика конфиденциальности предназначена исключительно для информирования пользователей о (возможном) сборе их персональных данных. Настоящий документ не стоит путать с Пользовательским соглашением (Terms of Use) для мобильного приложения, которое определяет в свою очередь свод правил, которых пользователю нужно придерживаться во время использования мобильного приложения (к примеру, запрет мошенничества, авторские права на контент, порядок возврата товара и т.п.).

Настоящая политика может быть использована только для мобильного приложения, для того, чтоб подготовить политику конфиденциальности для веб-сайта, необходимо воспользоваться шаблоном другого документа.

Шаблон документа включает в себя следующие структурные элементы, в частности:

(1) общие положения (на какие отношения распространяется действие Политики конфиденциальности, какие права пользователей в области защиты своих персональных данных и тп); и

(2) какие персональные данные пользователей собираются мобильным приложением автоматически (к примеру, через установленные файлы куки); и

(3) какие личные данные пользователь предоставляет мобильному приложению самостоятельно (к примеру, ФИО, электронный адрес, номер телефона); и

(4) какое лицо отвечает за хранение персональных данных и сроки такого хранения, а также имеет ли место трансграничная передача персональных данных; и

(5) имеют ли доступ третьи лица к персональным данным пользователей; и

(6) использует ли мобильное приложение ремаркетинг или аналитические платформы; и

(7) как пользователи могут подать запрос, жалобу или претензии касательно обработки и защиты их персональных данных; и

(8) каким образом предоставляется доступ несовершеннолетним пользователям к контенту мобильного приложения; и

(9) какой порядок размещение и рассылки рекламного (маркетингового) контента и многое другое.

Доступность мобильного приложения для пользователей из ЕС/на территории ЕС

Если данное мобильное приложение будет доступным на территории ЕС и/или для пользователей из ЕС, в таком случае к порядку защиты персональных данных в обязательном порядке будет применяться европейское законодательство о защите персональных данных, а именно — Общий регламент защиты персональных данных или GDRP.

В данном случае Правообладателю нужно будет в обязательном порядке позаботиться о решении следующих задач:

(1) нанять в штат отдельного сотрудника, который будет ответственным за соблюдение законодательства о защите персональных данных (нужно только в том случае, если Правообладатель является государственным (муниципальным) органом или регулярно обрабатывает огромные массивы персональных данных пользователей или осуществляет мониторинг поведения пользователей в сети); и

(2) назначить официального представителя Правообладателя в ЕС, к которому пользователи/государственные органы из ЕС смогут обращаться по вопросам защиты персональных данных. Функции такого официального представителя могут выполнять отдельно назначенные физические/юридические лица или, если Правообладатель имеет представительство в ЕС, такие официальные представительства.

(3) в обязательном порядке требовать согласия на обработку персональных данных пользователей из ЕС в возрасте до 16 лет от их законных представителей.

Как использовать документ

Согласно общему правилу Политика конфиденциальности должна быть опубликована непосредственно в самом мобильном приложении. Каждый пользователь должен иметь право ознакомиться с ее текстом непосредственно в момент загрузки и/или активации мобильного приложения.

Настоящая Политика конфиденциальности подойдет для любых видов и категорий мобильных приложений, загружаемых на смартфоны, планшеты, часы и другие мобильные устройства.

Политика конфиденциальности — документ, который не может быть изменен и/или дополнен по инициативе пользователей. Если пользователь не согласен с некоторыми положениями Политики конфиденциальности, он должен немедленно прекратить пользоваться мобильным приложением.

Применимое законодательство

Политика конфиденциальности для мобильного приложения разработана в соответствие с положениями Федерального закона «О персональных данных», Федерального закона «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях», а также правилами Общего регламента по защите персональных данных от 27 апреля 2016 года (GDRP), а также с устоявшейся практикой подготовки документов такого вида.

Как изменить шаблон

Вы заполняете форму. Документ создается у вас на глазах по мере того, как вы отвечаете на вопросы.

В конце вы получите его бесплатно в форматах Word и PDF. Вы можете изменять его и использовать его повторно.

Привет!

Команда VERSUS.legal продолжает публиковать статьи о правовых вопросах геймдева. В прошлый раз вы могли прочитать о множестве юридических подсказок для игровых разработчиков. А сегодня мы начинаем серию материалов о базовых документах, которые могут понадобиться на релизе вашей игры. В первой статье расскажем об одном из самых распространенных соглашений в индустрии – о политике конфиденциальности или Privacy Policy.

Без privacy policy сейчас не может обойтись, пожалуй, ни одно приложение. Так или иначе собирают персональные данные почти все. Если в вашей игра есть регистрация, встроенные покупки, аналитика использования в любом виде (в частности, логи ошибок) – то есть если клиент игры отправляет обратно разработчику любую информацию – то вам нужен такой документ. Его размещения в публичном доступе требуют как и законы многих стран (правда, иногда их требования к содержанию политики разнятся), так и правила App Store (начиная с 8 декабря 2020 года) и Google Play. По ссылкам вы можете ознакомиться с детальным перечнем функционала, который требует политику конфиденциальности.

Что будет, если у меня нет такой политики?

Вы можете быть признаны нарушающими закон и правила маркетплейса.

Штрафы за отсутствие опубликованной политики разнятся в зависимости от страны. Например, в России штраф составит от 15 000 рублей для юридических лиц. По правилам GDPR он может составить куда больше, вплоть до 20 миллионов евро. Но на практике самый большой штраф на сегодня составил 1800 евро – в Испании была оштрафована компания Solo Embrague за отсутствие политики конфиденциальности и баннера cookie на главной странице корпоративного сайта.

Что касается санкций от маркетплейсов, то они могут быть весомее, вплоть до удаления приложения. Например, Google присылает сообщения “Warning of Google Play Developer policy violation: Action Required Policy issue” («Предупреждение о нарушении политики Google Play Developer: Необходимо принять меры»).

Выглядят они примерно так:

Могу ли я сделать стандартную политику в одном из автоматических генераторов документов?

Можете, но не факт, что этот документ будет корректно составлен.

Недавно группа исследователей, в состав которой вошли специалисты из Университета Северной Каролины, Университета Иллинойса и IBM Research, изучила 11 430 политик конфиденциальности, случайно выбранных приложений из Google Play. Оказалось, что многие из изученных приложений использовали онлайн-сервисы для автоматического создания политик конфиденциальности. В таких политиках встречались противоречащие друг другу утверждения, они часто были частью стандартных шаблонов. Так, в 59 политиках текст был очень похож и основывался на 3 шаблонах, которые изначально были неверно составлены.

Поэтому если вы хотите быть уверенными, что все делаете правильно, лучше подготовить свою политику. С учетом ваших реальных процессов по сбору и передаче данных пользователей.

На каком языке должна быть составлена политика?

Основная ее версия, конечно, на английском. Но здесь нужно учесть, что у некоторых стран особые требования в законах. Например, в Польше закон о польском языке обязывает предоставлять информацию субъекту данных именно на нем. Поэтому все уведомления о конфиденциальности, адресованные пользователю, тоже должны быть на польском. В целом, такое же правило и в российском законе о защите прав потребителей. Он требует, чтобы информация для потребителей была на русском языке. И Польша с Россией тут не исключение, такие законы есть еще у нескольких десятков стран.

Но на практике мы не знакомы со случаями привлечения к ответственности за отсутствие перевода.

Каким требованиям должна соответствовать политика?

Это самый сложный и интересный момент. Дело в том, что законы разных стран и правила маркетплейсов не всегда совпадают друг с другом. Но приложения, как правило, работают глобально и направлены на аудиторию многих стран мира (особенно если они на английском языке). Это фактически означает, что, имея одно приложение или игру, вы попадаете под действие многих региональных правил одновременно. Поэтому при подготовке документа необходимо выбрать самые строгие правила из возможных и следовать им.

Как правило, в политике необходимо прописать:

Но это только базовые положения. Обязательно изучите региональные требования стран, на которые вы делаете основную ставку по продажам.

Законы каких стран мне вероятнее всего надо учесть?

Стоит обратить внимание на европейское законодательство (GDPR и ePrivacy Directive (так называемый “Cookie Law”) и законы штата Калифорния (Закон Калифорнии о защите конфиденциальности в Интернете (CalOPPA) и Закон штата Калифорния о конфиденциальности потребителей (CCPA).

Например, калифорнийские законы дополнительно просят включить в политику конфиденциальности заявление о том, как будут обрабатываются запросы субъектов персональных данных с просьбой перестать их отслеживать. А также положение о том, как оператор будет уведомлять пользователей об изменениях к политике конфиденциальности. Кроме того, в соответствии с CCPA пользователи должны быть проинформированы о возможности продажи их данных.

Меняется ли что-то, если мое приложение направлено на детскую аудиторию?

Да, если ваше приложение собирает, использует или раскрывает личную информацию о детях младше 13 лет. К таким действиям применяются особые правила, например, американский Закон о защите конфиденциальности детей в Интернете (COPPA).

Вы должны уведомить родителей пользователей и получить их поддающееся проверке (!) согласие перед тем как собирать, использовать или раскрывать информацию. И, конечно, должны обеспечивать безопасность собранной информации. Это также необходимо отразить в политике конфиденциальности.

Я подготовил политику конфиденциальности, что дальше?

Вы должны разместить подробную политику конфиденциальности в двух местах: на странице приложения в сторе и внутри вашего приложения – например, если в нем есть функция регистрации.

Для страницы приложения магазины требуют именно ссылку на залитую политику, а не сам ее текст. В идеале privacy policy можно разместить на вашем сайте – причем в легкодоступном пользователем месте, например, в футере. Но если его нет, можно загрузить документ в отдельный репозиторий, например, на GitHub, и дать ссылку на него.

Также рекомендуем добавить ссылку на политику конфиденциальности в тексте согласия на обработку данных (если оно у вас есть). И обязательно следить за ее актуальностью.

В целом, если у вас нет возможности обратиться к юристу, мы бы рекомендовали не пользоваться генераторами документов, а вместо этого:

Если у вас есть опыт работы с privacy policy – обязательно поделитесь в комментариях! А в следующем материале мы поговорим об EULA, то есть о пользовательском соглашении.

Как подготовить приложение к проверке

К 20 июля 2022 года вы должны сделать следующее:

• включить свою политику конфиденциальности или ссылку на нее в приложение;
• добавить ссылку на свою политику конфиденциальности на странице Контент приложения (Правила > Контент приложения) в Play Console.

В правилах в отношении пользовательских данных вы можете найти полный список требований к политике конфиденциальности.

В Play Console есть страница «Контент приложения». Там вы можете указать информацию, подтверждающую, что ваше приложение безопасно для целевой аудитории и соответствует Правилам программы для разработчиков и юридическим требованиям.

На этой странице можно:

• добавить ссылку на политику конфиденциальности, из которой пользователи узнают, как будут обрабатываться их данные;
• указать, содержит ли ваше приложение рекламу;
• предоставить или изменить инструкции для разделов приложения, доступ к которым ограничен;
• описать контент и целевую аудиторию приложения;
• объяснить, как вы будете использовать важные разрешения и разрешения с высоким уровнем риска, например разрешения на доступ к SMS или списку вызовов;
• получить возрастные ограничения для контента, которые присваиваются уполномоченными организациями.

Как указать информацию о приложении

Политика конфиденциальности

На странице приложения в Google Play можно указать ссылку на политику конфиденциальности, из которой пользователи узнают, как будут обрабатываться их данные.

В этом документе (а также в самом приложении) должно подробно объясняться, как приложение собирает, использует и передает третьим лицам пользовательские данные, а также кто именно может получить к ним доступ. Чтобы получить подробную информацию, проконсультируйтесь с юристом.

• Если приложению нужны важные разрешения или доступ к конфиденциальной информации (см. правила в отношении пользовательских данных), вы должны разместить ссылку на политику конфиденциальности в самом приложении и на его странице в Google Play. Убедитесь, что документ доступен по указанной ссылке, относится к нужному приложению и содержит информацию о том, как обеспечивается конфиденциальность пользователей.
• Если приложение предназначено для детей, вы должны разместить ссылку на политику конфиденциальности в самом приложении и на его странице в Google Play независимо от того, нужны ли приложению важные разрешения или доступ к конфиденциальным данным. Убедитесь, что документ доступен по указанной ссылке, относится к нужному приложению и содержит информацию том, как обеспечивается конфиденциальность пользователей. Обратите внимание, что даже если у приложения нет доступа к личным и конфиденциальным данным, у него должна быть политика конфиденциальности.

Как добавить политику конфиденциальности

1. Откройте Play Console и перейдите на страницу Контент приложения (Правила > Контент приложения).
2. В разделе «Политика конфиденциальности» выберите Начать.
   • Примечание. Если вы хотите изменить ранее добавленную политику конфиденциальности, выберите Настроить вместо «Начать».
3. Введите URL опубликованного документа.
4. Сохраните изменения.

Реклама 

Вы должны указать, содержит ли ваше приложение рекламу, включая объявления из сторонних рекламных SDK (пакетов средств разработки), баннеры, медийные или нативные объявления. Если содержит, то на странице приложения в Google Play появится ярлык «Есть реклама», который будет виден всем пользователям.

Примечание. Этот ярлык сообщает только о наличии рекламы. Кроме нее в приложении, например, может быть продакт-плейсмент и платный контент. Продакт-плейсмент должен использоваться только в соответствии с требованиями местного законодательства.

Как указать, содержит ли ваше приложение рекламу

1. Откройте Play Console и перейдите на страницу Контент приложения (Правила > Контент приложения).
2. В разделе «Реклама» выберите Начать.
   • Примечание. Если вы уже указывали данные о наличии рекламы и хотите их изменить, выберите Настроить вместо Начать.
3. Проверьте, соответствует ли приложение правилам размещения рекламы, и выберите «Да» или «Нет». 
4. Сохраните изменения.

Примеры

Ниже мы расскажем, в каких случаях следует сообщать о наличии рекламы в приложении. Обратите внимание, что этот список не является полным. В нем упомянуты лишь самые распространенные типы рекламы.

• Баннеры и межстраничные объявления: приложение интегрировано с рекламным SDK для показа баннеров и/или межстраничных объявлений. Разработчик использует эти форматы рекламы для получения дохода и/или продвижения собственных продуктов или приложений.
• Нативные объявления. В приложении есть объявления, неотделимые от основного контента (спонсорские статьи, объявления в фиде и т. д.).
• Собственные объявления.В приложении есть небольшой баннер, межстраничное или полноэкранное объявление или виджет для продвижения других приложений разработчика.

Рекламой не считается перекрестное продвижение в приложении других продуктов разработчика, если при этом выполняются следующие условия:

• Ссылки на другие приложения размещены в предназначенном для них разделе* главного меню.
• Этот раздел* не мешает взаимодействовать с приложением.
• Этот раздел* не внедряется в геймплей или рабочий процесс.

*Раздел может называться по-разному, например «Другие игры», «Больше возможностей», «Полная версия», «Ещё», «О нас».Иногда он просто обозначен логотипом разработчика.

Мониторинг со стороны Google

Вы обязаны сообщать пользователям о наличии рекламы в вашем приложении. Мы оставляем за собой право проверить приложение в любой момент и при необходимости присвоить ему ярлык «Есть реклама».

Если вы считаете, что ярлык был присвоен по ошибке, свяжитесь с нашей службой поддержки.

Контроль за соблюдением правил

Согласно правилам Google Play вы обязаны явным образом предупредить пользователей о наличии рекламы в вашем приложении. В противном случае оно может быть заблокировано.

Доступ к приложению

Если для доступа к приложению или некоторым его частям требуются учетные данные, подписка, определенное местоположение или другие виды аутентификации, предоставьте необходимые инструкции.

Как добавить инструкции о доступе к приложению

1. Откройте Play Console и перейдите на страницу Контент приложения (Правила > Контент приложения).
2. В разделе «Доступ к приложениям» выберите Начать.
   • Примечание. Если вы уже добавили инструкции и хотите их изменить, нажмите Настроить вместо Начать.
3. Выберите + Добавление инструкций и укажите правила доступа.
   • Примечание. Если для входа используются одноразовые коды, многофакторная аутентификация, формы более чем с двумя полями и т. п., укажите сведения об этом в поле «Другие инструкции».
4. Сохраните изменения.

Если ваше обновление отклонено или приложение удалено, следуйте инструкциям ниже, чтобы повторно отправить приложение на проверку. Вы можете выполнить эти шаги, не обращаясь в службу поддержки.

1. Откройте Play Console и перейдите на страницу Доступ к приложениям.
2. Обновите информацию и нажмите Сохранить.
3. Когда статус обновления изменится на «Готово к отправке на проверку» или на странице Обзор публикации появится раздел «Изменения уже можно отправить на проверку», нажмите Отправить на проверку на странице Обзор публикации.

Примечания

• Вы можете добавить до пяти инструкций.
• Если в приложении используются учетные данные не в буквенном или цифровом формате (например, QR-коды или штрихкоды), создайте статический URL и загрузите его в Play Console.
• Если для входа в приложение требуется двухэтапная аутентификация или одноразовый код, предоставьте нам учетные данные, которые можно использовать неоднократно.
• Если для входа в приложение требуется определенное местоположение (например, геозона), предоставьте учетные данные, которые действуют независимо от локации.
• Если в приложении используются учетные данные не на английском языке, предоставьте нам их англоязычную версию через Play Console.

Целевая аудитория и контент

Вам необходимо указать целевую возрастную группу приложения. Все приложения, в целевую аудиторию которых входят дети, должны соответствовать требованиям программы «Приложения для всей семьи».

Важно предоставлять точную информацию. В зависимости от выбранной целевой аудитории на приложение могут распространяться дополнительные правила Google Play. Ознакомьтесь с ними и прочитайте о том, как заполнять раздел «Целевая аудитория и контент» на странице Контент приложения. 

Кроме того, вы можете узнать о заполнении этого раздела и воспользоваться интерактивным контрольным списком в Академии для разработчиков.

Декларация разрешений

Запросы разрешений оцениваются в процессе выпуска приложения после добавления наборов Android App Bundle. Если ваше приложение запрашивает важные разрешения и разрешения с высоким уровнем риска, (например, для доступа к SMS или списку вызовов), возможно, вам потребуется заполнить декларацию разрешений и получить одобрение Google Play.

Узнайте, как заполнять заявку на доступ к разрешениям на странице Контент приложения.

Возрастные ограничения

Возрастные ограничения для приложений и игр присваиваются с учетом особенностей законодательства и культур отдельных стран. Это позволяет разработчикам более точно определять ограничения для контента и распространять приложения среди той аудитории, для которой они предназначены.

Чтобы ваши приложения не попали в категорию «Без классификации», войдите в Play Console и заполните соответствующий опрос для каждого из них. Приложения без классификации могут быть удалены из Google Play.

Прочитайте статью Возрастные ограничения для игр и приложений, чтобы узнать больше о возрастных ограничениях и их присвоении, а также получить инструкции по заполнению анкеты на странице Контент приложения.

Приложения, отслеживающие контакты с инфицированными или статус COVID-19

Вы должны указать, отслеживает ли ваше приложение контакты с инфицированными и/или статус COVID-19.

Прежде чем заполнять этот раздел, прочитайте требования к приложениям, имеющим отношение к коронавирусной инфекции COVID-19.

Чтобы заполнить заявление о том, что приложение отслеживает контакты с инфицированными и статус COVID-19, выполните следующие действия:

1. Откройте Play Console и перейдите на страницу Контент приложения (Правила > Контент приложения).
2. Под заголовком «Приложения, отслеживающие контакты с инфицированными или статус COVID-19» выберите Начать.
   • Примечание. Если вы уже заполняли заявление и хотите внести изменения, вместо Начать нажмите Настроить.
3. Выберите утверждения, которые верны для вашего приложения.
   • Примечание. Если ваше приложение отслеживает контакты с инфицированными или статус COVID-19, вы также должны подтвердить, что оно соответствует требованиям к приложениям, имеющим отношение к коронавирусной инфекции COVID-19.
4. Сохраните изменения.

Если ваше приложение отслеживает контакты с инфицированными или статус COVID-19, предварительно уведомите специалистов по проверке приложений Google Play.

Материалы по теме

• О программе «Приложения для всей семьи»
• Курс о правилах программы «Приложения для всей семьи» в Академии для разработчиков

Эта информация оказалась полезной?

Как можно улучшить эту статью?

Политика конфиденциальности – способ сообщить пользователям, что именно вы о них знаете, как будете это использовать и хранить. Оглашение политики конфиденциальности не всегда обязательно, но в мире интернет-технологий является стандартной практикой. Давайте разберёмся и научимся составлять этот важный документ, без которого разместиться в App Store у многих не получится.

Зачем все это нужно?

Во-первых, чтобы заверить пользователя в надежности вашего продукта/сервиса и таким образом увеличить его ценность. Кроме того законодательные акты большинства цивилизованных стран, в которых Apple ведет бизнес, гласят:

• пользователи должны быть информированы о том, что их данные собирают и обрабатывают;
• цель сбора персональных данных пользователя должна быть четко сформулирована и соблюдена на деле;
• раскрытие данных третьим лицам возможно только с согласия их обладателя;
• данные должны храниться в надежном месте в соответствии с самыми последними стандартами в области защиты данных;
• пользователи должны знать, кто именно собирает их данные;
• при необходимости данные должны быть доступны обладателю для актуализации и внесения изменений;
• лица, собирающие данные, должны нести ответственность за нарушение вышеперечисленных пунктов.

В буквальном смысле политика конфиденциальности – это страничка на сайте вашего проекта, которая подробно описывает, что вы делаете с данными пользователя и зачем это вам. Фактически, устанавливая приложение, пользователь соглашается с описанными в политике конфиденциальности положениями. Не будем вдаваться в дебри законодательной и исторической подоплеки вопроса, а сразу перейдем к теме, касающейся непосредственно iOS-разработчиков.

Так для каких приложений обязательно наличие политики конфиденциальности? Ответ прост. Apple не пропустит в App Store ваше приложение без ссылки на политику конфиденциальности (Privacy Policy URL), если оно:

• получает доступ к данным пользователя. Например, к телефонной книге или фото;
• позволяет создать учетную запись внутри приложения;
• позволяет получить доступ к уже существующей учетной записи;
• использует фреймворки HomeKit или HealthKit;
• интегрировано с Apple Pay;
• использует кастомную клавиатуру;
• содержит автовозобновляемые или бесплатные подписки;
• распространяется на App Store в категории «Дети».

Что указать в политике конфиденциальности?

В общем случае рекомендуется включить в политику конфиденциальности следующие пункты:

• Общие сведения о вас как разработчике, вашем продукте или сервисе. Если у вас есть трейдмарки и прочая юридическая документация, используйте определения оттуда.
• Условия использования вашего продукта или сервиса. Например, что пользователь обязуется вам не врать, уже достиг нужного возраста, а за его неточности вы ответственности не несете и пр.
• Все конкретные данные, которые вы собираете о пользователях (желательно). Здесь же можно указать средства сбора данных, если их много.
• Цели сбора и/или обработки данных пользователей, если вы их собираете и обрабатываете естественно.
• Какие меры вы предпринимаете по защите данных. Обычно здесь пишут, что используют самые последние достижения в сфере защиты данных, но лучше писать правду. Если данные находятся в общественном доступе, то лучше указать, что вы не несете ответственность за действия третьих лиц, которым эти данные могут быть доступны.
• Адрес и телефон для обращений пользователей и обещание реагировать на них крайне добросовестно и оперативно.

Как сделать хорошо?

Грамотно составленная политика конфиденциальности и условия использования – залог успешного разрешения судебных разбирательств даже с государственными органами. Все мы знаем примеры крупных сервисов, на которых в общественном доступе лежат порнографические материалы для лиц старше 18 лет. Рекомендую ознакомиться с практикой лучших и конкретными законодательными актами стран, в которых вы планируете распространять свое приложение, как минимум РФ, ЕС и США.

Замечу также, что если ваше приложение распространяется в ЕС, где требования к безопасности данных особенно высоки, для очистки совести подумайте о добавлении на страничке политики конфиденциальности локализации на английский и другие популярные языки. Вообще на просторах интернета можно найти довольно много бесплатных шаблонов, главное заточить их под реалии приложения и уже тогда жить спокойно.

(1 голосов, общий рейтинг: 4.00 из 5)

Требования к содержанию политики конфиденциальности поменялись после внесения изменений от 1 сентября 2022 года в закон «О персональных данных». Они разбросаны по закону и различным письмам контролирующих органов. Мы собрали всё воедино и упаковали в подробный гайд.

Оглавление:

Зачем нужна политика?

Политика конфиденциальности — документ, в котором вы декларируете, какие данные вы собираете, для каких целей вы их собираете и что с ними делаете.

Политика конфиденциальности нужна, если вы обрабатываете персональные данные своих пользователей. Поскольку обработка — любые действия с персональными данными, а персональными данные — любые данные о человеке, то политика конфиденциальность нужна любому сайту, у которого есть форма обратной связи, возможность приема заявок, регистрация пользователей и т.д.

Политика конфиденциальности (ссылка на неё) должна быть опубликована на вашем сайте, на каждой странице, где собираются персональные данные. Иначе вам грозит:

Также, если вы обрабатываете персональные данные, то вы должны уведомить об этом Роскомнадзор (далее — РКН). Подать уведомление можно через сайт РКН. После вы будете включены в реестр операторов персональных данных (ссылка).

Шаг 1. Укажите контакты.

Пользователь должен знать, кто будет обрабатывать его персональные данные. Поэтому вы обязаны указать в политике:

Можете разместить эти данные в любом разделе политики: в начале или в конце.

Шаг 2. Определите порядок сбора согласий.

Вы можете обрабатывать персональные данные только с согласия субъекта персональных данных. Поэтому вы должны собирать согласия перед тем, как начнете обработку данных. У вас должна быть возможность подтвердить, что определенное лицо дало вам своё согласие.

Например, на сайтах чаще всего размещают чек-бокс, без принятия которого нельзя оставить заявку, зарегистрировать на сайте. Также информация о кликах прописывается в лог-файлах сайт.

Основные требования к согласию:

В политике надо прописать, как вы собираете эти согласия. Например, напишите, что «согласие дается путем проставления галочки при регистрации пользователя на сайте».

Важно. Также нельзя получать согласия от несовершеннолетних. Поэтому в политике пишем, что пользователь гарантирует, что является совершеннолетним.

Шаг 3. Указываем для чего собираем данные и что с ними делаем.

Цель обработки — это то, для чего вы собираете персональные данные. Цель обязательно должна быть конкретной. Например, оказание услуг по договору, регистрация пользователя на сайте и т.д.

Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных (п.3.2. Рекомендаций Роскомнадзора).

Новые правила внесли существенные изменения связанные с целями обработки. Теперь в отношении каждой цели необходимо прописывать (пункт 2, часть 1, статья 18.1. ФЗ-152): категории субъектов персональных данных, перечень и категории обрабатываемых данных, способы и сроки обработки данных и порядок уничтожения персональных данных.

Поскольку цели должны быть конкретными и ясными, то, как правило, их может быть несколько и в отношении каждой цели нужно указывать эти данные.

1. Категории субъектов, чьи данные обрабатываются в заданной цели. Нигде не раскрывается, что означает категория субъектов. На практике сложилось, что обычно указывают какие у вас отношения сложились с данным субъектом: пользователи сайта, потенциальные клиенты, заемщики и т.д.

2. Перечень обрабатываемых данных. Просто называете список всех персональных данных, которые вы обрабатываете (ФИО, номер, адрес и т.д.).

3. Категории данных. Указываете, к какой категории относятся персональные данные (см. ниже в таблице).

4. Действия с данными — укажите, как вы будете обрабатывать данные, например можно указать следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п. 3 ст. 3 ФЗ «О персональных данных»).

Также необходимо указать способы обработки персональных данных. Способы обработки бывают:

5. Сроки обработки и хранение данных — укажите, в течение какого срока вы храните персональные данные.

Также укажите где и как вы их храните.

6. Уничтожение ПД — стирание их со всех носителей навсегда.

Если персональные данные обрабатывались автоматизированным способом, уничтожить их можно путем стирания из базы данных, форматирования носителя или путем механического повреждения жестких дисков.

Если персональные данные обрабатывались неавтоматизированным способом, их можно уничтожить путем сожжения, дробления (измельчения), химического разложения.

Порядок документального оформления факта уничтожения персональных данных определяется оператором самостоятельно. Для уничтожения ПД обычно созывается специальная комиссия и по итогам ее деятельности составляется акт об уничтожении ПД.

Уничтожение ПД производится в случае:

Как это прописать в политике?

В редакции нового закона необходимо указывать всю информацию в отношении каждой цели обработки. Хорошо, когда цель обработки одна, однако, если их много, то текст начнет сильно раздуваться.

Мы видим несколько вариантов как это можно оформить.

Вариант 1 — сплошной текст

Суть в том, чтобы мы шли текстом по каждой отдельной цели, такой формат нельзя назвать удобным с точки зрения восприятия информации и понятности политики. Вид будет примерно следующий:

Цель: регистрация на сайте. Категория субъекта: пользователи сайта. Обрабатываемые данные: фамилия, имя, отчество, дата рождения, номер телефона. Категория данных: общие персональные данные. Способ обработки персональных данных: автоматизированные сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование. Срок обработки: в течение 3 лет с даты проявления последней активности на сайте. Персональные данные уничтожаются путем стирания с серверов оператора персональных данных.

Цель: оформление покупки Категория субъекта: пользователи сайта. Обрабатываемые данные: фамилия, имя, отчество, дата рождения, номер телефона, адрес доставки, платежные реквизиты. Категория данных: общие персональные данные. Способ обработки персональных данных: автоматизированные сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование. Срок обработки: в течение 3 лет с даты проявления последней активности на сайте. Персональные данные уничтожаются путем стирания с серверов оператора персональных данных.

Цель: оформление возврата товара …

Вариант 2 — таблица

Оформляем информацию представленную выше в виде таблице, где каждая строка — новая цель обработки. Такой вариант уже лучше, поскольку прочитать и понять его гораздо проще, чем предыдущие. Однако всё равно не очень удобно, т.к. много информации будет дублироваться. Примерный вид:

Вариант 3 — таблица + текст

Оформляем переменную информацию в виде таблицы, а постоянную отдельными пунктами. В нашем примере, как и у большинства компаний будут неизменны: способ и сроки хранения персональных данных и порядок их уничтожения.

И отдельными пунктами прописываем:

1. Для всех целей обработки персональных данных срок обработки персональных данных составляет 3 года с даты проявления последней активности на сайте.

2. Персональные данные уничтожаются путем стирания их с серверов оператора персональных данных.

Шаг 4. Пропишите, кому вы передаете ПД пользователей.

По общему правилу передача ПД третьим лицам запрещена. Исключения составляют:

1. Передача с согласия пользователя. То есть пользователь дает отдельное письменное согласие на передачу своих персональных данных той или иной компании.

2. Передача уполномоченным органам в соответствии с законодательством.

3. Передача персональных данных обработчикам. Обработчики — это компании, которые обрабатывают ПД по специальному документу-поручению оператора. Здесь стоит прописать список обработчиков и их контакты.

Трансграничная передача. Если вы передаете ПД пользователей заграничным компаниям, об этом стоит также написать и указать страны, в которые передаются персональные данные.

Шаг 5: Расскажите про права ваших пользователей.

По закону у пользователей есть ряд прав при обработке их ПД, лучше рассказать о них в вашей политике конфиденциальности.

Шаг 6: Укажите правовое основание обработки ПД. (Не обязательно).

Роскомнадзор рекомендует прописывать перечень документов, на основании которых вы обрабатываете ПД.

Этими документами могут быть:

Шаг 7: Определите где вы будете размещать актуальную версию политики.

Не забудьте указать:

Подписывайтесь на наш канал @aglegal, мы пишем о новостях в мире права для ИТ-компаний, а также планируем разместить шаблон политики конфиденциальности по новым правилам.

Для консультаций можете звонить +7 (969) 704-24-56 (Герман Ященко).

Создайте обычную html страничку типа (пункты можно варьировать в зависимости от функций заложенных в приложении):

Privacy policy
Политика конфиденциальности

1. Термин “личная информация”, используемый в настоящем документе, определяется как любая информация, которая идентифицирует или может использоваться для идентификации, связи или поиска человека, к которому такая информация относится. Личная информация, которую мы собираем, будет являться предметом настоящей политики конфиденциальности, с вносимыми время от времени поправками.

2. Мы не запрашиваем Ваш адрес электронной почты, телефон или какую нибудь информацию о Вас.

3. Мы не продаем контент.

4. Мы не требуем регистрации.

5. Безопасность Вашей персональной информации не будет нарушена.

6. Мы не просим информацию о местоположении через наше мобильное приложение.

7. Мы не отправляем на электронную почту рассылку новостей.

Требуемые разрешения

1. Доступ к звонкам используется для таких-то целей (укажите для каких).

2. Доступ к контактам телефона используется для таких то целей (укажите для каких).

Контакты

e-mail: support@domen.ru

Разместите ее в Интернете на любом хостинге (можно бесплатном) и укажите ссылку для приложения в консоли разработчика.