Политика конфиденциальности

1. Общие положения

Настоящая политика применяется к сайту seowash.ru и функциям сервиса SEOwash. Оператором персональных данных является владелец сервиса SEOwash, далее - Оператор. Для обращений по вопросам обработки данных используется адрес info@seowash.ru.

Оператор обрабатывает только те данные, которые нужны для работы сервиса, безопасности, поддержки пользователей и исполнения требований закона.

2. Какие данные обрабатываются

• данные аккаунта: email, идентификатор пользователя, тариф, статус и дата создания;
• данные авторизации: хеш пароля, серверный идентификатор сессии и срок его действия;
• данные восстановления доступа: email, хеш одноразового токена и срок его действия;
• данные SEO-проектов: названия и домены сайтов, sitemap, поисковые фразы, регионы, устройства, правила, настройки, результаты проверок и задач;
• данные подключённых интеграций: идентификаторы, зашифрованные токены и ключи, необходимые для выполнения выбранных Пользователем операций;
• технические данные: IP-адрес для ограничения частоты запросов, параметры и статусы операций, ошибки и время событий;
• обращения в поддержку, настройки уведомлений, использования и резервного копирования.

Пароли в открытом виде не сохраняются. Исходные IP-адрес и email не сохраняются в хранилище ограничений частоты запросов: вместо них используются HMAC-хеши с ограниченным сроком жизни.

3. Цели обработки

• регистрация, вход, восстановление доступа и управление аккаунтом;
• создание SEO-проектов и выполнение запрошенных Пользователем задач;
• работа подключённых интеграций и резервного копирования;
• отправка сервисных писем и ответов поддержки;
• защита аккаунтов, предотвращение злоупотреблений и диагностика ошибок;
• исполнение соглашения и обязательных требований законодательства.

4. Основания обработки

Данные обрабатываются для заключения и исполнения Пользовательского соглашения, на основании согласия Пользователя в случаях, когда оно требуется, для выполнения обязанностей Оператора по закону и защиты законных интересов сервиса без нарушения прав Пользователя.

5. Способы обработки

Обработка выполняется преимущественно автоматически и может включать сбор, запись, систематизацию, хранение, уточнение, использование, передачу привлечённым обработчикам, блокирование, удаление и уничтожение данных. Оператор не продаёт персональные данные.

6. Cookie и сессии

Для авторизации используется обязательная cookie session_id со сроком до 30 дней. В production она передаётся только по HTTPS и имеет атрибуты HttpOnly и SameSite=Lax. При подключении Wordstat временная OAuth-cookie хранится до 10 минут. Рекламные и аналитические cookie сервисом не используются.

7. Внешние сервисы и получатели

Для выполнения выбранных функций часть данных может передаваться только в необходимом объёме следующим категориям получателей:

• SMTP-провайдеру, включая Yandex Cloud Postbox при его использовании, для доставки сервисных писем;
• сервисам Яндекса, XMLRiver и XMLStock для авторизации интеграций и выполнения поисковых запросов;
• выбранному Пользователем облачному хранилищу, например Яндекс Диску или Облаку Mail.ru, при включении резервного копирования;
• поставщикам серверной, базовой и резервной инфраструктуры, необходимой для работы и восстановления SEOwash;
• государственным органам, когда передача обязательна по закону.

8. Сроки хранения и удаление

• сессия аккаунта действует до 30 дней или до выхода из аккаунта;
• хеш ссылки восстановления пароля хранится до 30 минут или до использования;
• HMAC-идентификаторы защиты от частых запросов хранятся от 15 минут до 1 часа;
• данные аккаунта и проектов хранятся, пока аккаунт используется, а затем до завершения удаления, обязательного хранения и разрешения возможных споров;
• сроки хранения резервных копий и журналов определяются назначением копии, настройками инфраструктуры и требованиями закона.

Пользователь может запросить удаление аккаунта и связанных данных по адресу info@seowash.ru. Данные в резервных копиях удаляются по мере плановой ротации.

9. Безопасность

Оператор применяет организационные и технические меры защиты. Пароли хранятся в виде bcrypt-хешей, reset-токены - в виде SHA-256-хешей, секреты интеграций - в зашифрованном виде. Доступ к данным ограничивается назначением системы и полномочиями пользователей.

10. Права Пользователя

Пользователь вправе:

• получить сведения об обработке своих персональных данных;
• потребовать уточнения, блокирования или удаления данных;
• отозвать согласие, если обработка основана на согласии;
• обжаловать действия Оператора в Роскомнадзоре или суде.

Для выполнения запроса Оператор может попросить подтвердить принадлежность аккаунта. Отзыв согласия не влияет на законность уже выполненной обработки и может сделать часть функций недоступной.

11. Изменения политики

Политика может обновляться при изменении сервиса или законодательства. Дата действующей редакции публикуется в начале страницы. Вопросы и запросы по данным принимаются по адресу info@seowash.ru.