Политика обработки персональных данных ГоГулять
ПРОЕКТ 2026-11-08-draft. ТРЕБУЕТ ПРОВЕРКИ ЮРИСТОМ. Описание составлено по проектной спецификации; перед публикацией подтвердить реализацию, основания, сроки и поставщиков.
Дата вступления в силу: {{EFFECTIVE_DATE}}.
1. Кто отвечает за данные
Оператор: {{OPERATOR_FULL_NAME}}, физическое лицо, страна: {{OPERATOR_COUNTRY}}, адрес: {{OPERATOR_ADDRESS}}. По вопросам данных и отзыва согласия: {{PRIVACY_EMAIL}}; поддержка: {{SUPPORT_EMAIL}}. Политика относится к приложению и веб-сервису ГоГулять, включая обращения в поддержку. Первый выпуск предназначен для России.
2. Данные и цели
| Категория | Источник и назначение |
|---|---|
| Ник, аватар из каталога, цвет, год рождения участника | Участник или его представитель; профиль, возрастные ограничения и настройки безопасности |
| Email, хэш пароля взрослого или самостоятельного участника | Сам пользователь; вход, подтверждение email и восстановление. У управляемого ребёнка нет email и пароля |
| Подтверждение совершеннолетия и полномочий представителя, связь с ребёнком | Представитель и процедура проверки; создание и управление аккаунтом. Год рождения взрослого при регистрации не сохраняется |
| Язык, часовой пояс, настройки и родительские ограничения | Пользователь, представитель и устройство; интерфейс, тихие часы и контроль доступа |
| Сессии, идентификаторы аккаунта и устройства в сервисе, платформа, версия приложения, имя устройства, push-токен или подписка браузера | При подключении — авторизация и отзыв доступа. Push-токен/подписка хранится только после отдельного согласия на цель push, данного пользователем или опекуном до системного запроса разрешения |
| Дружба, заявки, блокировки, прогулки, участие, реакции и статусы | Действия участников и представителей; договорённости и ограничение доступа |
| Места: название, значок, центр ячейки карты и радиус | Ручной выбор участника или представителя; приблизительное место встречи |
| Жалобы, их необязательный текст и результаты рассмотрения, обращения в поддержку | Заявитель и модерация; защита пользователей, ответы и разбор нарушений |
| Версии документов, сведения о принятии и отзыве | Действия пользователя или представителя; доказательство разрешённых целей и исполнение прав |
| Дневная активность, платформа и версия приложения | Собственный сервер, только при отдельном согласии на analytics; по умолчанию выключена, за ребёнка решает опекун |
| IP-адрес и технические сведения соединения в журнале прокси | Автоматически при обращении; доставка запросов, защита и диагностика. Журнал доступа администраторов также содержит их технические идентификаторы |
Точная геопозиция устройства используется только локально для удобства карты и не передаётся нашему API. Фоновое отслеживание отсутствует. В сервисе нет загрузки фото, записей голоса и видео, доступа к адресной книге, рекламных идентификаторов IDFA/AAID и сторонних рекламных трекеров.
Приблизительное место, ник, история прогулок, IP и технические идентификаторы всё равно могут быть персональными данными. Привязка к сетке и использование псевдонима не делают их анонимными. Запросы карты могут раскрывать её серверу IP и область просмотра, в том числе вокруг позиции, которую устройство использовало для центрирования карты. Разрешение геолокации необязательно: место можно выбрать вручную.
Ники и названия мест проверяются фильтром лексики, контактов (телефоны, ссылки, @) и зарезервированных слов. Отклонённый текст не сохраняется.
3. Основания обработки
Необходимые для аккаунта действия выполняются для заключения и исполнения соглашения с пользователем либо в предусмотренных законом случаях в интересах ребёнка как выгодоприобретателя. Обработка, для которой требуется согласие, выполняется по отдельному согласию самого субъекта или его законного представителя с проверкой полномочий. Исполнение обязанностей оператора и законных требований органов власти основывается на законе. Защита прав и безопасность допускаются на самостоятельном законном основании только в необходимых пределах с учётом прав ребёнка.
В отдельном согласии перечислены цели и данные, которые на нём основаны. Политика является уведомлением и не служит общим согласием «на всё». Дневная статистика, рекламные функции и иные действия, не необходимые для работы аккаунта, не могут автоматически считаться исполнением договора. Их фактическое основание и необходимость проверяются до включения.
4. Кто видит сведения
Профиль и сведения о прогулке доступны в пределах действующей дружбы и разрешённой аудитории. Email, год рождения и пароль другим участникам не показываются. Представители управляемого ребёнка получают доступ по своей роли и настройкам родительского контроля; представители других детей получают только предусмотренные родительским режимом сведения о друзьях. Ник и аватар незнакомого зрителю участника могут заменяться общим счётчиком по правилам видимости.
Чужая прогулка доступна действующему опекуну ребёнка только если ребёнок входит в разрешённую аудиторию, ответил «иду» или «может быть», у него включена настройка «Родитель видит историю прогулок» и ребёнок сам сейчас видит эту прогулку. Доступ ограничен временем, длительностью, занятиями и создателем прогулки. Место показывается только как тип из стандартного набора (например, двор или парк), без названия и точки места; сохранённое место на карте обозначается как недоступное. Другие участники, счётчики, реакции и аудитория не показываются. Опекун не может реагировать или менять участие в прогулке.
Приватное место видят владелец и его представители. Если оно выбрано для открытой прогулки, его видит аудитория этой прогулки в её контексте. После закрытия такой доступ не сохраняется без другого основания доступа к месту. Снимки экрана нельзя отозвать. Удаление места владельцем не удаляет сохранённые другими пользователями копии; скрытие места модератором скрывает и его копии; об удалении копии, содержащей ваши данные, можно обратиться оператору.
Модераторы и технические исполнители получают доступ только для своих задач. Законные требования органов власти проверяются; раскрывается необходимый объём на законном основании. Публичного каталога пользователей нет. Согласие на предоставление сведений определённым получателям не разрешает их распространение неограниченному кругу лиц.
5. Поставщики и страны обработки
В зависимости от платформы используются Apple APNs, Google FCM или push-сервис браузера: им передаются токен/подписка и уведомление. При включённых деталях отображаемый текст может содержать ник друга, название места, время и занятие; в технических данных push координат нет. Детали можно отключить. SMTP получает email взрослого или самостоятельного участника и содержание служебного письма. Хостинг и резервное хранение обрабатывают данные для работы сервиса. Картографический сервер получает технические запросы карты. Поставщики сборки приложения не должны получать базу пользователей; возможные технические обращения приложения к сервисам обновлений должны учитываться отдельно.
Push-токен хранится и используется только при отдельно выданной цели push. При её отзыве токены удаляются, поставленные в очередь уведомления не отправляются. Системное разрешение устройства не заменяет это согласие.
Фактические поставщики, юридические лица, страны, категории данных и назначение:
{{PROVIDERS_TABLE}}
При сборе данных граждан России используются базы в России с соблюдением требований локализации. Зарубежные push, почта, карты, поддержка и хранилища оцениваются как отдельные потоки: российский сервер сам по себе не исключает трансграничную передачу. До начала такой передачи выполняются применимые требования к основанию, оценке получателя и уведомлению Роскомнадзора. Согласие пользователя не отменяет ограничения закона.
Данные не продаются и не передаются для межсервисной поведенческой рекламы. На запуске реклама выключена. Если кампании будут включены после отдельной проверки, они будут выбираться по языку, платформе и возрастной категории; может использоваться временный счётчик частоты на аккаунт. Сводные показы и клики не должны содержать пользовательский профиль. Новые рекламные сети требуют отдельной оценки и изменения документов до подключения.
6. Хранение и удаление
Сроки ниже являются пределами обычного хранения; более раннее удаление по законному требованию имеет приоритет. Прекратившаяся необходимость в данных также является основанием удалить их.
| Данные | Обычный срок |
|---|---|
| Профиль, настройки, связи, места, блокировки, сведения о согласиях | До удаления аккаунта или соответствующего объекта; текущее состояние целей и журнал согласий удаляются вместе с аккаунтом |
Очередь доменных событий (outbox_events) | Только идентификаторы и коды; 7 дней после обработки, 30 дней после неуспеха; удаляется при удалении пользователя |
Журнал согласий (consent_events) и текущее состояние целей | Кто, за кого, действие, версия, цели, язык, способ и время; без IP и текстов. Удаляются вместе с аккаунтом |
| Прогулки и участие | 30 дней после завершения или отмены |
| Внутренние уведомления | 30 дней после создания |
| Закрытые заявки в друзья | 90 дней после разрешения |
| Истёкшие или отозванные сессии | До 30 дней после истечения или отзыва; действующие — до прекращения сессии |
| Хэши ранее использованных refresh-токенов | До исходного истечения токена либо удаления сессии; открытые токены не сохраняются |
| Использованные или истёкшие email-токены и истёкшие приглашения представителя | До 7 дней после использования или истечения, как применимо |
| Заявки передачи роли владельца между представителями | 90 дней после закрытия; раньше при удалении стороны или ребёнка |
| Служебные маркеры напоминаний о новых согласиях | До принятия или удаления; 30 дней после закрытия серии, раньше при прекращении соответствующего представительства |
| Закрытые жалобы | До 1 года после закрытия; идентифицирующие сведения очищаются при удалении аккаунта по правилам удаления |
| Дневная активность с идентификатором аккаунта | Только при analytics, до 13 месяцев; отзыв сразу прекращает учёт и удаляет записи; удаление аккаунта также удаляет их |
| Аудит администраторов, включая события с идентификаторами объектов | До 2 лет; идентификатор события не считается автоматически анонимным |
| Технические журналы приложения и прокси | До 14 дней |
| Временные коды дружбы, привязки и счётчики | QR дружбы — до 90 секунд, код устройства ребёнка — до 15 минут; счётчики дневной активности и частоты кампаний — до 26 часов |
| Резервные копии | Ротация до 14 дней после создания копии |
По обычному запросу удаления аккаунт сразу скрывается, сессии отзываются; окончательное удаление из рабочей базы происходит после 7-дневного периода отмены. При восстановлении из резервной копии удалённые данные должны повторно исключаться до возобновления работы. Если запрос требует более раннего прекращения обработки или уничтожения, применяется установленный законом срок, а не обязательное ожидание семи дней. Резервная ротация не оправдывает пропуск такого срока.
Обращения в поддержку хранятся до разрешения вопроса; последующее ограниченное хранение возможно только при конкретном законном основании, срок которого сообщается заявителю. Сохранение отдельных сведений по прямой обязанности закона или для конкретного спора объясняется отдельно: категория, основание и срок. Бессрочное сохранение «на всякий случай» не допускается. Только необратимо обезличенная статистика может храниться без срока; малые группы и обратимо связанные идентификаторы к ней не относятся.
7. Ваши права
Можно запросить сведения об обработке и получателях, доступ и копию своих данных, исправление, блокирование и уничтожение при наличии оснований, отозвать согласие и обжаловать обработку. Представитель действует за ребёнка с подтверждением полномочий. Возраст и самостоятельные права ребёнка учитываются отдельно; одна привязка аккаунта не оправдывает раскрытие сведений лицу без полномочий.
Ник и аватар исправляются в приложении. Год рождения ребёнка исправляет опекун; самостоятельный подросток может изменить его только через удаление аккаунта и повторную регистрацию. Цели push и analytics отзываются в настройках, за ребёнка — в «Согласиях ребёнка»: обработка этой цели прекращается сразу, её данные удаляются. Если войти невозможно, можно обратиться оператору без входа.
Обращайтесь на {{PRIVACY_EMAIL}} или по адресу оператора. Не отправляйте пароли, коды, полный паспорт или сведения о посторонних. Сначала используются доступ к аккаунту и минимальные сведения для проверки; дополнительные данные запрашиваются только при необходимости и в допустимом законом объёме. Доступ и JSON-выгрузка ребёнка предусмотрены в родительском режиме; данные самого взрослого или самостоятельного участника можно запросить через поддержку. Инструкция удаления доступна без входа.
В России сведения об обработке и возможность ознакомления предоставляются при обращении либо в течение 10 рабочих дней после получения запроса; допускается мотивированное продление не более чем на 5 рабочих дней. Для исправления, прекращения обработки и уничтожения действуют специальные сроки закона; единый срок ответа не заменяет их. Отзыв согласия прекращает основанную на нём обработку, но не отменяет законное хранение на ином основании. Если без необходимых данных аккаунт работать не может, это объясняется при исполнении запроса.
Вы вправе обратиться в Роскомнадзор и в суд. Если к обработке применяется GDPR, сохраняются предусмотренные им права, включая ограничение, возражение и переносимость при соответствующих условиях, а также жалобу компетентному надзорному органу. Применимые права по законам штатов США также сохраняются. Эта оговорка не означает доступность сервиса на этих рынках и не заменяет необходимые местные уведомления.
8. Защита и изменения
Мы ограничиваем доступ по ролям, защищаем соединения, храним хэши паролей, используем отзыв сессий и контролируем действия администраторов. Меры снижают риск, но не дают абсолютной гарантии. Об инцидентах уведомляются компетентные органы и затронутые лица в предусмотренных законом случаях и сроках.
Действующая редакция публикуется по адресу {{LEGAL_BASE_URL}}. При изменении целей, данных или получателей, требующем нового согласия, оно запрашивается до новой обработки. Само обновление политики не означает согласия пользователя.