Правовые документы

Политика конфиденциальности

Редакция v2.0 · действует с 16 октября 2026 г.

Оператор (data controller): Даниил Полиновский (Daniil Polinovskyi), физическое лицо (частное лицо), Норвегия, г. Мосс
Контакт по вопросам данных: [email protected]

Кто Оператор. Оператором выступает физическое лицо (частный разработчик), а не компания. Это не отменяет действие GDPR: исключение для «личных/бытовых целей» (GDPR ст. 2(2)(c)) не применяется, так как Сервис доступен публично.

Применимое право. Оператор находится в Норвегии, входящей в ЕЭЗ, поэтому обработка персональных данных регулируется GDPR (Regulation (EU) 2016/679), имплементированным Законом Норвегии о персональных данных (Personopplysningsloven). Если Сервис используется лицом в Украине, дополнительно применяется Закон Украины «О защите персональных данных» (разд. 16).

Документ описывает, какие данные мы собираем, на каком основании, как храним и защищаем, кому передаём и как вы можете реализовать свои права по GDPR.

1. Общие положения

1.1. Политика применяется ко всем данным, которые Оператор получает через Сервис: веб‑приложение (Flutter Web) на домене myfunction.app, публичные страницы профилей myfunction.app/s/… и связанные серверные компоненты.

1.2. В терминах GDPR Оператор выступает контролёром (data controller); привлекаемые поставщики услуг действуют как обработчики (data processors) по поручению Оператора (разд. 7).

1.3. Обработка ведётся в объёме, минимально необходимом для работы Сервиса (принцип минимизации, GDPR ст. 5(1)(c)).

2. Основные понятия

Персональные данные — информация об определённом или определяемом лице (GDPR ст. 4).
Контролёр (Оператор) — лицо, определяющее цели и средства обработки.
Обработчик — лицо, обрабатывающее данные по поручению контролёра.
Пользователь — зарегистрированное лицо. Роли: Искатель (seeker) и Специалист (specialist).
Публичный профиль — общедоступная страница Специалиста по адресу myfunction.app/s/<slug>.

3. Какие данные мы обрабатываем

3.1. Данные аккаунта

Email — логин и служебные письма (подтверждение регистрации, восстановление доступа).
Пароль — не хранится в открытом виде; хранится необратимый хэш (Supabase Auth).
Технический идентификатор пользователя и сведения о сессии.

3.2. Данные профиля

Роль (seeker/specialist), отображаемое имя, аватар, страна и регион, статус онбординга.
Для Искателя: выбранная категория/сфера интересов.
Для Специалиста: категория, заголовок, описание, город; контакты (телефон, email, Telegram — по желанию); портфолио (изображения и подписи); публичный адрес профиля.

3.3. Что мы не собираем

Оператор не запрашивает точную геолокацию, контакты, доступ к камере и галерее, кроме случаев, когда Пользователь сам загружает изображение по своему выбору. Платёжные реквизиты карт Оператору напрямую не передаются.

3.4. Технические данные и безопасность

Журналы обращений (access/rate‑limit log): факт и время обращения, служебные идентификаторы — для защиты от злоупотреблений.
Антибот‑проверка (Cloudflare Turnstile) при открытии публичных страниц.
Стандартные технические сведения, передаваемые браузером при обращении к сайту.

3.5. Данные, которые становятся публичными (важно)

При публикации профиля Специалиста следующие данные становятся доступны любому посетителю интернета на странице myfunction.app/s/<slug> и в карточке внутри приложения: имя, город, категория, аватар, заголовок и описание; контакты (телефон, email, Telegram), если Специалист их указал; изображения и подписи портфолио (по временным подписанным ссылкам).

Не публикуйте данные, которые не хотите раскрывать публично. Контакты показываются третьим лицам только после публикации профиля. Правовое основание — ваше согласие, которое вы можете отозвать, сняв публикацию.

4. Цели и правовые основания (GDPR ст. 6)

Цель	Данные	Основание (ст. 6)
Регистрация, вход, ведение аккаунта	email, пароль (хэш), id	согласие; договор — (a),(b)
Профиль и онбординг	профиль, роль, регион	договор — (b)
Публикация профиля Специалиста	публичные поля, контакты, портфолио	согласие — (a)
Каталог и поиск специалистов	публичные поля	договор — (b)
Служебные и транзакционные письма	email	договор — (b)
Безопасность, борьба с абузом и спамом	access‑log, антибот‑данные	законный интерес — (f)
Улучшение Сервиса	обезличенная статистика	законный интерес — (f)

Там, где основание — согласие, вы можете отозвать его в любой момент (это не влияет на законность обработки до отзыва).

5. Специальные категории и профилирование

5.1. Оператор не запрашивает специальные категории данных (GDPR ст. 9: здоровье, национальность, религиозные и политические взгляды и т. п.). Пожалуйста, не размещайте их в открытых полях профиля и портфолио.

5.2. Оператор не применяет автоматизированное принятие решений (GDPR ст. 22). Каталог/поиск — простые выборки по фильтрам.

6. Cookie, локальное хранилище и кэш

Сессия хранится в защищённом локальном хранилище (токен Supabase); очищается при выходе или очистке данных сайта.
Веб‑версия использует service worker и кэш для быстрого запуска — это файлы приложения, а не ваши данные.
Cloudflare Turnstile может устанавливать технические cookie.
Строго необходимые cookie/хранилище используются по законному интересу. Аналитические/маркетинговые cookie — только после согласия (ePrivacy / норв. Ekomloven).

7. Передача обработчикам и третьим лицам

Оператор привлекает обработчиков по поручению (GDPR ст. 28), с заключением DPA:

Supabase — БД (PostgreSQL), файловое хранилище (аватары, портфолио), аутентификация, служебные письма. Регион размещения — Европа (ЕЭЗ).
Cloudflare (Pages / Turnstile) — хостинг и доставка сайта, защита от атак.
Платёжный провайдер (планируется: Stripe) — платежи за подписку. На дату настоящей редакции платежи не подключены и данные Платёжному провайдеру не передаются; условия будут отражены здесь до запуска платежей.

Оператор не продаёт персональные данные. Передача возможна только обработчикам выше, по законному требованию госорганов либо с согласия Пользователя.

8. Передача данных за пределы ЕЭЗ (глава V)

Данные хранятся на серверах в пределах ЕЭЗ (включая регион размещения базы данных Supabase — Европа). Целенаправленная передача персональных данных за пределы ЕЭЗ Оператором не осуществляется. Если в будущем обработчик будет размещать серверы вне ЕЭЗ, передача будет осуществляться только при наличии надлежащих гарантий (адекватность / SCC 2021/914).

9. Хранение и защита данных

Разграничение доступа на уровне строк (Row Level Security): видите и изменяете только свои данные.
Доступ к контактам и портфолио чужих профилей закрыт на уровне БД и открыт только для опубликованных профилей.
Шифрование передачи TLS/HTTPS.
Загружаемые изображения ограничены по типу и размеру (только изображения; аватар/портфолио — до 5 МБ).
Секреты хранятся на сервере и не передаются клиенту.

10. Сроки хранения (ст. 5(1)(e))

Данные аккаунта и профиля — до удаления аккаунта.
Публичные данные — до снятия публикации или удаления аккаунта.
Журналы безопасности (access‑log) — до 30 дней.
После удаления аккаунта данные удаляются/обезличиваются в срок до 30 дней, кроме случаев, требуемых законом.

11. Удаление аккаунта и право на стирание

Пользователь может удалить аккаунт самостоятельно: «Настройки → Удаление аккаунта». Необратимо удаляются профиль, контакты, портфолио, загруженные файлы и данные входа. Это реализует право на стирание (GDPR ст. 17).

12. Ваши права по GDPR

доступ к данным (ст. 15);
исправление (ст. 16);
стирание — «право быть забытым» (ст. 17);
ограничение (ст. 18);
переносимость (ст. 20);
возражение (ст. 21);
отзыв согласия (ст. 7(3));
не подпадать под автоматизированные решения (ст. 22 — не применяются).

Ответ на запрос — в течение 1 месяца (может быть продлён до 3 месяцев).

Право на жалобу:
Норвегия — Datatilsynet (datatilsynet.no) · другая страна ЕЭЗ — местный надзорный орган · Украина — см. разд. 16.

13. Несовершеннолетние

Сервис предназначен для лиц не младше 16 лет. Возраст 16 выбран Оператором как минимальный порог (в Норвегии базовый «цифровой возраст согласия» — 13 лет, GDPR ст. 8). Данные лиц младше порога осознанно не собираются; при выявлении — удаляются.

14. Изменения Политики

Новая редакция публикуется на этой странице с указанием даты и вступает в силу с момента публикации, если не указано иное. О существенных изменениях Оператор стремится уведомлять через Сервис.

15. Контакты

Оператор: Даниил Полиновский (Daniil Polinovskyi), физическое лицо, Норвегия, г. Мосс
Email по вопросам данных: [email protected]

16. Украина

16.1. Если Сервис используется лицом в Украине, дополнительно применяется Закон Украины «О защите персональных данных» № 2297‑VI.

16.2. Права субъекта: знать о составе данных; получать доступ; требовать изменения/удаления; отозвать согласие; обжаловать обработку.

16.3. Надзорный орган в Украине: Уполномоченный Верховной Рады Украины по правам человека (омбудсмен по защите персональных данных).

16.4. Данные обрабатываются на серверах в ЕЭЗ (см. раздел о местах хранения данных). Если применимое законодательство Украины потребует дополнительных мер (например, локализации баз данных), Оператор примет их и отразит их в настоящей Политике.

Документ — типовой шаблон, адаптированный под фактическую обработку данных, и не является юридической консультацией. Перед публикацией — проверка юристом (GDPR / personopplysningsrett).