Политика конфиденциальности для мобильного приложения: что это такое и как подготовить документ

Материал носит информационный и рекомендательный характер и не является юридической консультацией или юридическим заключением.

Требования к обработке персональных данных различаются в зависимости от страны и могут изменяться. Ответственность за содержание документа, его актуальность и соответствие применимому законодательству несёт владелец приложения / оператор персональных данных.

При подготовке и актуализации юридических документов рекомендуем консультироваться с профильным юристом.

1. Зачем мобильному приложению Политика конфиденциальности

Для публикации приложения в Google Play необходима Политика конфиденциальности (Privacy Policy).

Из документа должно быть понятно:

• кто отвечает за приложение;
• какие пользовательские данные и данные устройства приложение получает;
• для каких целей они используются;
• передаются ли данные другим сторонам;
• как обеспечивается защита данных;
• как долго они хранятся и каким образом удаляются;
• как пользователь может обратиться по вопросам своих персональных данных.

Политика должна относиться именно к мобильному приложению

Документа, который описывает исключительно работу сайта, для мобильного приложения недостаточно.

Например, вместо:

«Настоящая Политика применяется при использовании сайта...»

рекомендуем предусмотреть:

«Настоящая Политика конфиденциальности применяется при использовании сайта ______ и мобильного приложения „Название приложения“».

или:

«Настоящая Политика конфиденциальности применяется при использовании мобильного приложения „Название приложения“».

Политика должна соответствовать фактической работе приложения. Указывайте только те данные, функции и разрешения, которые действительно используются.

2. Чем отличаются Политика конфиденциальности, Политика обработки ПД, согласие и cookies

Эти документы связаны между собой, но решают разные задачи.

Политика конфиденциальности

Объясняет пользователю, какие данные получает сервис или приложение и что с ними происходит.

Именно Privacy Policy необходима при подготовке мобильного приложения к публикации в Google Play.

Политика обработки персональных данных

Описывает, как оператор организует работу с персональными данными: цели и основания обработки, категории данных, порядок хранения, права субъектов, меры защиты и другие вопросы.

При этом само название документа не является определяющим. В разных странах используется разная юридическая терминология, а некоторые организации объединяют несколько вопросов в одном документе.

Если у вас уже есть Политика обработки персональных данных, рекомендуем проконсультироваться с юристом и проверить, можно ли актуализировать её так, чтобы документ также выполнял функцию Privacy Policy для мобильного приложения.

Согласие на обработку персональных данных

Согласие — это не Политика. Политика объясняет правила работы с данными.
Согласие фиксирует разрешение пользователя на определённую обработку данных, когда такое согласие требуется. Наличие согласия не заменяет Privacy Policy.

Cookie Policy

Cookies относятся прежде всего к сайтам и веб-технологиям. Информация о cookies может быть включена непосредственно в Политику либо оформлена отдельной Cookie Policy.

3. Какие данные и функции учитывать в приложениях Mobifitness

При подготовке собственной Политики рекомендуем использовать действующую Политику ООО «Мобильные Технологии» как дополнительный источник информации о работе платформы Mobifitness.

Не все разделы документа относятся непосредственно к мобильным приложениям клиентов.

В первую очередь рекомендуем ознакомиться с:

• п. 5.10 «Обработка персональных данных по поручению контрагента» — описывает обработку персональных данных клиентов контрагентов;
• п. 3.14–3.15 — касаются сбора персональных данных пользователей сайта или приложения и информирования субъекта персональных данных.

Какие данные может собирать конкретное приложение

Фактический перечень зависит от настроек регистрации и профиля вашего приложения.

В зависимости от настроек пользователь может указывать:

• фамилию;
• имя;
• отчество;
• дату рождения;
• пол;
• e-mail;
• номер клубной карты;
• серию и номер паспорта;
• дату и место выдачи паспорта;
• ИНН;
• адрес регистрации;
• адрес фактического проживания*;
• дополнительный номер телефона;
• номер автомобиля;
• примечание;
• промокод при регистрации в мобильном приложении / виджете;
• алиас в Telegram*;
• ссылку на профиль во ВКонтакте*;
• ссылку на профиль в Instagram*;
• ссылку на профиль в Max*;
• информацию о противопоказаниях*.

Поля, отмеченные *, доступны в мобильном приложении с версии 5.26 и выше.

Наличие поля в Mobifitness не означает, что оно используется в каждом приложении. В Политике необходимо отражать фактические настройки вашего приложения.

Функции мобильного устройства

Также учитывайте разрешения и функции, которые реально используются приложением, например:

• геолокацию;
• камеру или галерею, например в разделе «Обратная связь»;
• push-уведомления;
• другие данные и разрешения, необходимые для конкретных функций приложения.

4. Рекомендуемая структура Политики

При подготовке Политики конфиденциальности рекомендуем предусмотреть:

1. Общие положения — сведения об организации и области действия Политики.
2. Сведения о мобильном приложении — название приложения и указание, что Политика распространяется на его использование.
3. Термины и определения — при необходимости.
4. Какие данные обрабатываются — пользовательские данные и данные устройства.
5. Цели обработки — для чего используются соответствующие данные.
6. Правовые основания обработки — с учётом законодательства соответствующей страны.
7. Порядок и способы обработки данных.
8. Хранение данных и сроки хранения.
9. Удаление данных и прекращение обработки.
10. Передача данных третьим лицам и используемые сервисы / обработчики.
11. Меры защиты данных.
12. Права пользователя и порядок их реализации.
13. Контакт для обращений по вопросам персональных данных.
14. Сведения и реквизиты оператора / организации.
15. Порядок изменения и актуализации Политики.

Для разделов об обработке, хранении, удалении и передаче данных можно дополнительно использовать как ориентир п. 5.10 и разделы 7–8 Политики ООО «Мобильные Технологии».

Формулировки, описывающие внутренние процессы ООО «Мобильные Технологии», необходимо адаптировать под процессы вашей организации.

5. Особенности по странам

Как пользоваться шаблонами

Для России и Казахстана мы подготовили шаблоны Политики конфиденциальности.

В шаблонах есть служебные подсказки и поля для заполнения. Перед использованием необходимо:

• заменить значения в квадратных скобках [ЗАПОЛНИТЕ: ...] на данные вашей организации;
• удалить служебные комментарии и подсказки;
• оставить только те данные, функции и способы обработки, которые фактически относятся к вашему приложению;
• удалить положения, которые к вашей организации или приложению не применяются.

После заполнения рекомендуем передать готовый документ профильному юристу для проверки.

Россия

Основной нормативный акт — Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

В качестве официальных источников рекомендуем использовать:

• Федеральный закон № 152-ФЗ «О персональных данных»;
• материалы и разъяснения Роскомнадзора в сфере персональных данных.

Для удобства можно использовать: Шаблон Политики конфиденциальности для мобильного приложения — РФ

Казахстан

Основной нормативный акт — Закон Республики Казахстан от 21 мая 2013 года № 94-V «О персональных данных и их защите».

При построении документа необходимо учитывать требования законодательства Республики Казахстан к обработке и хранению персональных данных.

Закон Республики Казахстан «О персональных данных и их защите» — ИПС «Әділет»

Для удобства можно использовать: Шаблон Политики конфиденциальности для мобильного приложения — Казахстан

Беларусь

Основной нормативный акт — Закон Республики Беларусь от 7 мая 2021 года № 99-З «О защите персональных данных».

В Беларуси используется термин «Политика в отношении обработки персональных данных», поэтому название документа может отличаться от «Политики конфиденциальности».

При построении документа удобно использовать связь: цель обработки → чьи данные обрабатываются → какие данные → правовое основание → срок обработки / хранения.

Закон Республики Беларусь № 99-З «О защите персональных данных» — Национальный правовой Интернет-портал

6. Требования Google Play к размещению Политики

Важно не только содержание документа, но и способ его размещения.

Privacy Policy должна:

• быть размещена по активной и общедоступной ссылке;
• открываться без географических ограничений;
• не требовать авторизации;
• не размещаться в формате PDF;
• находиться на странице, которую пользователь не может самостоятельно редактировать;
• быть доступна по указанной ссылке в Google Play и непосредственно из приложения.

Из самой Политики должна быть понятна её связь с организацией или соответствующим мобильным приложением.

Требования Google Play к пользовательским данным и Privacy Policy

7. Что предоставить Mobifitness

Для подготовки приложения к публикации передайте менеджеру Mobifitness ссылку на готовую Политику конфиденциальности, распространяющуюся на ваше мобильное приложение.

Если Политика подготовлена, но подходящей страницы для неё нет

Не обязательно самостоятельно создавать новую страницу на сайте.

Передайте документ менеджеру Mobifitness — мы самостоятельно подготовим техническую страницу для его размещения.

При этом Mobifitness размещает предоставленный документ без изменения его юридического содержания.

Частые вопросы / FAQ

1. Кто является оператором персональных данных?

Оператором персональных данных является организация, которая оказывает услуги своим клиентам и определяет цели, состав и условия обработки персональных данных.

Mobifitness обрабатывает персональные данные в рамках предоставления сервиса по поручению оператора.

Поэтому цели обработки, правовые основания, сроки хранения персональных данных и другие положения Политики определяются организацией с учётом её внутренних процессов и рекомендаций юриста.

2. Какие персональные данные обрабатываются в мобильном приложении?

Перечень данных зависит от настроек конкретного приложения.

Поля, используемые при регистрации и в профиле пользователя, можно проверить в административной панели Mobifitness в разделе «Настройки» → «Регистрация и профиль».

Например, могут использоваться:

• фамилия;
• имя;
• отчество;
• дата рождения;
• электронная почта;
• номер клубной карты.

При подготовке Политики необходимо указывать фактически используемые вашей организацией данные.3.

3. Нужно ли учитывать данные из 1С?

Да, если мобильное приложение интегрировано с 1С, необходимо учитывать не только данные, которые пользователь вводит непосредственно в приложении, но и данные клиента, которые хранятся в 1С и используются в рамках интеграции.

Поэтому перечень персональных данных следует определять с учётом настроек мобильного приложения и процессов обработки данных в вашей учётной системе.

4. Могут ли мобильным приложением пользоваться несовершеннолетние?

В настройках Mobifitness можно установить минимальный возраст для самостоятельной регистрации в приложении.

При этом если данные несовершеннолетнего клиента уже созданы в 1С и ему доступна авторизация в мобильном приложении, его персональные данные также могут обрабатываться при использовании приложения.

Порядок обработки персональных данных несовершеннолетних необходимо учитывать при подготовке документов организации.

5. Обрабатывает ли приложение биометрические данные?

Нет, мобильное приложение Mobifitness не обрабатывает биометрические персональные данные.

6. Передаются ли данные сервисам аналитики или рекламным сетям?

Не, персональные данные пользователей не передаются сервисам аналитики и рекламным сетям.

7. Передаются ли данные платёжным сервисам?

Да, если в мобильном приложении настроена интеграция с платёжной системой.

Передача данных осуществляется только в рамках использования соответствующей интеграции и в объёме, необходимом для проведения операции.

Если платёжная интеграция не используется, данный способ передачи данных к приложению не относится.

8. Осуществляется ли трансграничная передача персональных данных?

Нет, трансграничная передача персональных данных в рамках работы мобильного приложения не осуществляется.

9. Какие меры защиты данных применяются?

Персональные данные хранятся в зашифрованном виде. Mobifitness также применяет технические и организационные меры защиты данных в рамках предоставляемого сервиса.

10. Используются ли cookie или трекеры?

Рекламные и аналитические трекеры не используются.

В приложении могут использоваться технические cookie или аналогичные технологии, необходимые для корректной работы приложения и обеспечения его производительности.

11. Как пользователь принимает Политику конфиденциальности?

При регистрации или авторизации пользователь знакомится с размещёнными документами и подтверждает согласие посредством соответствующего действия в интерфейсе приложения - установки чекбокса.

12. Что происходит при изменении Политики?

При изменении Политики необходимо передать Mobifitness её актуальную версию для размещения в мобильном приложении.

После размещения новой версии пользователь знакомится с актуальным документом при последующей авторизации.

13. Как пользователь может обратиться по вопросам обработки персональных данных?

В мобильном приложении предусмотрена форма обратной связи.

При использовании интеграции с клубной системой обращение пользователя может передаваться в учётную систему организации.

При этом в самой Политике также необходимо указать актуальные контактные данные оператора и порядок направления обращений по вопросам обработки персональных данных.

14. Кто определяет цели и правовые основания обработки персональных данных?

Цели и правовые основания обработки определяет организация как оператор персональных данных.

Они зависят от фактических бизнес-процессов организации, договорных отношений с клиентами и состава обрабатываемых данных. Mobifitness не определяет данные условия вместо оператора.

15. Нужно ли заключать отдельное соглашение о поручении обработки персональных данных с Mobifitness?

Положения о поручении обработки персональных данных предусмотрены договорными документами Mobifitness.

При необходимости возможно отдельно оформить соглашение о поручении обработки персональных данных в ЭДО.

Отдельно заключать договор с используемым Mobifitness поставщиком инфраструктуры или дата-центром клиенту не требуется.