Mosaqo и GDPR

01

Контролёр, обработчик и ваше рабочее пространство

Сервисом Mosaqo управляет Андрей Петлованый, физическое лицо — предприниматель, зарегистрированный в Украине; связаться с ним можно по адресу hello@mosaqo.app. Украина находится за пределами Европейского экономического пространства, а GDPR применяется здесь потому, что Mosaqo предлагает свои услуги людям внутри него. Какую роль Mosaqo выполняет по GDPR, зависит от данных, и именно это различие определяет, кому адресовать запрос.

В отношении вашей собственной учётной записи — данных входа, платёжного контакта, обращений в поддержку, записей о сессиях безопасности — Mosaqo является контролёром и отвечает на запросы напрямую.

В отношении того, что рабочее пространство вкладывает в свои коды и собирает через них — ответов в формах, событий сканирования, загруженных файлов — контролёром выступает рабочее пространство, а Mosaqo действует как обработчик по задокументированным инструкциям. Если вы отсканировали QR-код компании и хотите удалить свои данные, решение принимает компания, опубликовавшая код. Mosaqo передаст запрос этому рабочему пространству и поможет на него ответить.

02

Правовые основания обработки

Любое использование персональных данных требует правового основания по статье 6. Mosaqo опирается на четыре из них и никогда не ссылается на законный интерес там, где закон требует согласия.

• Исполнение договора — создание учётной записи, хранение содержимого рабочего пространства, обслуживание перенаправлений и формирование аналитики, включённой рабочим пространством.
• Законные интересы — безопасность сервиса, предотвращение злоупотреблений на неаутентифицированных точках доступа и операционные журналы, нужные для работы.
• Согласие — рассылка и всё остальное, на что вы подписываетесь. Его можно отозвать в любой момент, и отзыв не делает прежнюю обработку незаконной.
• Юридическая обязанность — записи, которые Mosaqo обязана хранить по налоговым, бухгалтерским или правоохранительным правилам.

03

Ваши права по GDPR

Эти права принадлежат вам независимо от того, платите ли вы за Mosaqo, и воспользоваться ими можно бесплатно.

• Доступ — копия персональных данных о вас и цель их использования.
• Исправление — коррекция неточных или неполных сведений.
• Удаление — стирание ваших данных, если нет преобладающего основания их хранить.
• Ограничение — пауза в обработке, пока идёт спор о точности или основании.
• Переносимость — ваши данные в структурированном машиночитаемом формате или отправленные другому поставщику.
• Возражение — прекращение обработки, опирающейся на законные интересы.
• Отзыв согласия — в отношении всего, на что вы подписались, без объяснения причин.

04

Автоматизированные решения и профилирование

Mosaqo не принимает о вас автоматизированных решений с юридическими или подобными существенными последствиями, поэтому право по статье 22 попросту не возникает. Аналитика сканирований считает события и группирует их по времени, широкому региону и категории устройства. Она не предназначена идентифицировать человека и не используется для оценки, ранжирования или профилирования.

05

Как подать запрос

Напишите на hello@mosaqo.app с темой «GDPR request» и укажите, каким правом пользуетесь. Mosaqo может попросить подтвердить контроль над учётной записью или почтовым ящиком — не чтобы затруднить запрос, а потому что выдать персональные данные не тому человеку — уже само по себе нарушение.

Ответ вы получите в течение одного месяца, как требует статья 12. Необычно сложный запрос может потребовать ещё до двух месяцев — тогда причину вам сообщат в пределах первого месяца.

06

Договор об обработке данных

Там, где контролёром выступает ваше рабочее пространство, а Mosaqo — обработчиком, статья 28 требует письменного договора между вами. Mosaqo предоставляет его по запросу: напишите на hello@mosaqo.app с темой «DPA» и укажите юридическое наименование стороны, которая его подпишет.

07

Обработчики, передача и сроки хранения

Mosaqo использует небольшой набор поставщиков, чтобы продукт работал: хостинг приложения и базы данных, транзакционную почту, объектное хранилище для загруженных файлов и провайдеров входа, которых вы выбираете. Каждый связан договором об обработке и работает с данными только для своей части сервиса. Никто из них не получает персональные данные для собственных целей, и Mosaqo не продаёт персональные данные и не использует их для рекламы.

Часть этих поставщиков работает за пределами Европейского экономического пространства. В таком случае передача опирается на решение Европейской Комиссии об адекватности или на стандартные договорные положения Комиссии.

События сканирования удаляются по истечении срока хранения рабочего пространства — по умолчанию 90 дней. Данные учётной записи и рабочего пространства хранятся, пока существует учётная запись, и удаляются при её закрытии, кроме случаев, когда юридическая обязанность требует хранить копию дольше.

08

Безопасность, нарушения и жалобы

Данные шифруются при передаче, доступ к продакшн-системам есть только у тех, кто их обслуживает, а секреты хранятся отдельно от данных приложения.

Если произойдёт нарушение, вероятно угрожающее вашим правам, Mosaqo уведомит компетентный надзорный орган в течение 72 часов после того, как узнает о нём, и напрямую предупредит пострадавших, когда риск для них высок.

Если вас не устраивает, как обработали запрос, вы можете пожаловаться в орган по защите данных страны, где живёте или работаете. Обращаться сначала в Mosaqo необязательно, хотя обычно это быстрее.