Политика конфиденциальности

Lyriot («мы», «нас») обязуется защищать вашу частную жизнь. Настоящая политика объясняет, как мы собираем, используем, передаём и защищаем ваши персональные данные в соответствии с Общим регламентом по защите данных (GDPR) и применимым законодательством Франции.

Мы собираем следующие категории данных:

• Регистрационные данные: полное имя, адрес электронной почты, зашифрованный пароль (bcrypt), город, страна, пол, дата рождения, номер телефона (по желанию).
• Данные профиля: фотография профиля (хранится в Cloudflare R2), описание, интересы.
• Данные о действиях: созданные и посещённые мероприятия, записи в лист ожидания, опубликованные комментарии, реакции, регистрации по QR-коду, обмен сообщениями (содержание и время), дружеские связи, статус прочтения сообщений (уведомления о прочтении), полученные достижения, серии активности, код приглашения и список приглашённых.
• Данные геймификации: накопленные баллы по источникам, текущий ранг, история рейтингов, действующие усиления и срок их окончания, баланс и история кошелька баллов.
• Платёжные данные: история операций (подписки, платные мероприятия, усиления), действующая подписка и дата продления. Банковские и карточные данные обрабатывает исключительно Stripe — мы их никогда не храним.
• Данные организатора (Stripe Connect): у организаторов, принимающих платежи, Stripe собирает данные для проверки личности напрямую: личность (имя, дата рождения, скан документа, удостоверяющего личность), полный почтовый адрес, банковские реквизиты (IBAN или номер счёта) и, при необходимости, сведения о компании (наименование, налоговый номер). На эти данные распространяется политика конфиденциальности Stripe.
• Данные о местоположении: координаты GPS (широта и долгота), указываемые при создании мероприятия, чтобы показать карту и обеспечить поиск поблизости. Мы никогда не отслеживаем ваше местоположение непрерывно. Если вы уже разрешили определение местоположения на устройстве, ваше местоположение, округлённое примерно до десяти километров, также используется для сортировки подсказок городов; оно не сохраняется в вашем аккаунте.
• Данные заявки: резюме, сопроводительное письмо и адрес LinkedIn, отправленные через /careers/apply и хранящиеся в Cloudflare R2 (бакет «resumes»). Хранятся не более 2 лет.
• Контактные данные: имя, адрес электронной почты и содержание сообщений, отправленных через форму /contact.
• Технические данные: IP-адрес, тип браузера, посещённые страницы, дата и время подключения, идентификатор сессии (NextAuth), токены push-уведомлений (Firebase).

Ваши данные используются для того, чтобы:

• Предоставлять, поддерживать и улучшать наши сервисы
• Проверять вашу подлинность и защищать вашу учётную запись (вход по почте и паролю либо через Google OAuth)
• Показывать вам мероприятия, профили и рейтинги, которые вам подходят
• Обрабатывать платежи (подписки, платные мероприятия, усиления) через Stripe
• Перечислять средства организаторам платных мероприятий через Stripe Connect
• Отправлять уведомления (электронная почта через Resend, push через Firebase)
• Автоматически начислять баллы каждые 15 минут с помощью запланированных задач (cron)
• Автоматически рассчитывать и обновлять ранги пользователей
• Создавать повторы регулярных мероприятий (еженедельных, ежемесячных и так далее)
• Списывать и перечислять организаторам оплату за мероприятия
• Периодически обнулять недельные, месячные и годовые рейтинги
• Проверять условия программы приглашений (предотвращение злоупотреблений)
• Показывать ваш статус в сети и последнюю активность вашим друзьям
• Обеспечивать модерацию содержимого и рассмотрение жалоб
• Предотвращать мошенничество, злоупотребления и создание нескольких учётных записей
• Исполнять наши правовые и бухгалтерские обязанности

Мы обрабатываем ваши данные на следующих правовых основаниях:

• Исполнение договора: чтобы предоставлять вам услуги Lyriot, которыми вы пользуетесь (учётная запись, мероприятия, платежи, сообщения)
• Законный интерес: чтобы улучшать платформу, предотвращать мошенничество, обеспечивать безопасность, показывать статус в сети и вести рейтинги
• Согласие: на push-уведомления (можно отозвать в любой момент в настройках) и на необязательные рекламные сообщения
• Правовая обязанность: для соблюдения применимого законодательства, в частности бухгалтерских обязанностей (хранение 5 лет) и требований судебных органов

Мы никогда не продаём ваши персональные данные. Мы передаём их только нашим техническим поставщикам и лишь в объёме, необходимом для оказания услуги:

• Stripe: обработка платежей (подписки, платные мероприятия, усиления) и выплаты организаторам через Stripe Connect — политика Stripe
• OVH: размещение базы данных PostgreSQL (VPS, Франция); Cloudflare R2: хранение файлов (фотографии профиля, резюме)
• Resend: отправка служебных писем (подтверждение регистрации, сброс пароля, уведомления о мероприятиях)
• Mapbox: отображение интерактивных карт для места проведения мероприятий и поиска поблизости
• Photon (komoot) и Nominatim (OpenStreetMap Foundation, данные в Великобритании и Нидерландах): подсказки городов при вводе; Nominatim используется, только если Photon не отвечает. Наши серверы передают им только введённый текст, а Photon также приблизительное местоположение: центр вашей страны или, если вы уже разрешили определение местоположения, ваше местоположение, округлённое примерно до десяти километров. Ваше имя, IP-адрес и аккаунт им никогда не передаются.
• Firebase (Google): отправка push-уведомлений на ваши устройства (если вы их включили)
• Google OAuth: если вы выбираете вход через Google, ваше имя, адрес электронной почты и фотография профиля Google передаются в Lyriot
• Компетентные органы: когда этого требует закон, судебное решение или защита наших законных прав

Некоторые поставщики находятся за пределами Европейского союза (Firebase/Google, Stripe — в Соединённых Штатах). Эти передачи обеспечены:

• Стандартными договорными положениями, утверждёнными Европейской комиссией
• Решениями Комиссии о достаточном уровне защиты (например, Рамочная программа ЕС — США по защите данных для Stripe и Google)
• Надлежащими гарантиями, предусмотренными статьёй 46 GDPR

Мы храним ваши данные, пока ваша учётная запись активна. При её удалении данные стираются в течение 30 дней, если этому не препятствует правовая обязанность:

• Данные об операциях: 5 лет (бухгалтерская обязанность по праву Франции)
• Данные заявок (резюме, письма): не более 2 лет
• Технические журналы: 12 месяцев
• История модерации и санкций: бессрочно (безопасность и предотвращение злоупотреблений)
• Удалённые личные сообщения: метаданные (дата, участники) могут храниться и после удаления содержания

В соответствии с GDPR вам принадлежат следующие права:

• Право на доступ: ознакомиться с данными, которые мы о вас храним
• Право на исправление: исправить неточные данные (прямо в Настройках или обратившись к нам)
• Право на удаление: удалить учётную запись через Настройки → Чувствительная зона (обрабатывается в течение 30 дней)
• Право на переносимость: получить копию своих данных в структурированном формате
• Право на возражение: возразить против отдельных видов обработки (например, рекламных сообщений или показа статуса в сети)
• Право на ограничение: потребовать приостановки обработки в определённых случаях
• Права в отношении автоматизированных решений: быть информированным об автоматизированной обработке (начисление баллов, расчёт ранга, проверка приглашений) и оспорить её результат

Чтобы воспользоваться этими правами: форма обратной связи. Вы также можете подать жалобу в CNIL.

Применяемые технические и организационные меры:

• Шифрование всего трафика при передаче (HTTPS/TLS)
• Пароли зашифрованы с помощью bcrypt (никогда не хранятся в открытом виде)
• Доступ к данным ограничен по принципу наименьших привилегий
• Безопасное хранение файлов в Cloudflare R2 (доступ по временной подписанной ссылке)
• Защита от CSRF во всех формах (токен NextAuth)
• Журналирование административных действий
• Регулярное резервное копирование базы данных
• В случае утечки данных затронутые лица будут уведомлены в течение 72 часов, как того требует GDPR

Мы используем технические файлы cookie, необходимые для работы платформы (сессия пользователя, защита от CSRF). Мы также используем локальное хранилище вашего браузера, чтобы запоминать ваши предпочтения (светлая или тёмная тема, валюта отображения, язык): эти данные никогда не покидают ваше устройство. Подробнее — в нашей политике использования файлов cookie.

Lyriot открыт для лиц, достигших 15 лет, в соответствии со статьёй 7-1 французского закона о защите данных. В странах, законодательство которых устанавливает иной возраст (например, 13 лет в Соединённых Штатах по COPPA или 16 лет в отдельных государствах — членах ЕС), применяется более строгий возраст. Мы сознательно не собираем данные несовершеннолетних, не достигших требуемого возраста. Если вы полагаете, что такой несовершеннолетний создал учётную запись, немедленно свяжитесь с нами.

Помимо европейского GDPR, Lyriot соблюдает следующие нормы о защите данных в зависимости от страны вашего проживания:

• Калифорния (CCPA/CPRA): если вы проживаете в Калифорнии, вам принадлежат дополнительные права по California Consumer Privacy Act и California Privacy Rights Act: право знать, какие персональные данные собираются, право на удаление, право отказаться от продажи данных (мы ваши данные не продаём) и право не подвергаться дискриминации за их осуществление. Напишите нам на contact@lyriot.com, чтобы ими воспользоваться.
• Великобритания (UK GDPR): мы соблюдаем британский GDPR, действующий после брексита. Надзорный орган — ICO (Information Commissioner's Office). Ваши права соответствуют правам по европейскому GDPR.
• Бразилия (LGPD): согласно Lei Geral de Proteção de Dados Pessoais вам принадлежат права на доступ, исправление, удаление, переносимость и возражение. Компетентный орган — ANPD (Autoridade Nacional de Proteção de Dados).
• Канада (PIPEDA + Закон 25): мы соблюдаем Закон о защите персональных данных и электронных документов (PIPEDA), а в Квебеке — Закон 25 (закон о модернизации положений о защите персональных данных). Органы: OPC (федеральный) и CAI (Квебек).
• Австралия (Privacy Act 1988): мы соблюдаем австралийский Закон о неприкосновенности частной жизни и Australian Privacy Principles. Компетентный орган — OAIC (Office of the Australian Information Commissioner).
• Япония (APPI): согласно Закону о защите персональной информации (個人情報の保護に関する法律) мы исполняем обязанности APPI. Компетентный орган — PPC (Personal Information Protection Commission / 個人情報保護委員会).
• Китай (PIPL): согласно Закону о защите персональной информации (个人信息保护法) мы обрабатываем ваши данные на принципах законности, обоснованности и необходимости. Компетентный орган — CAC (Cyberspace Administration of China / 国家互联网信息办公室).
• Южная Корея (PIPA): согласно Закону о защите персональной информации (개인정보 보호법) вам принадлежат права на доступ, исправление, удаление и возражение. Компетентный орган — PIPC (Personal Information Protection Commission / 개인정보보호위원회).
• Индия (DPDP Act 2023): согласно Digital Personal Data Protection Act 2023 вы вправе получать информацию, исправлять и удалять свои цифровые персональные данные. Компетентный орган — Data Protection Board of India (создаётся при MeitY).
• Турция (KVKK): согласно Закону № 6698 о защите персональных данных (Kişisel Verilerin Korunması Kanunu) вам принадлежат права на доступ, исправление и удаление. Компетентный орган — KVKK (Kişisel Verileri Koruma Kurumu).
• Индонезия (UU PDP): согласно Закону № 27/2022 о защите персональных данных (Undang-Undang Perlindungan Data Pribadi) ваши права включают доступ, исправление и удаление. Компетентный орган — Kementerian Komunikasi dan Informatika.
• Таиланд (PDPA): согласно Personal Data Protection Act B.E. 2562 (2019) вам принадлежат права на доступ, переносимость, удаление и возражение. Компетентный орган — PDPC (Personal Data Protection Committee).
• Саудовская Аравия (PDPL): согласно Personal Data Protection Law (نظام حماية البيانات الشخصية) вам принадлежат права на доступ и исправление. Компетентный орган — SDAIA (Saudi Data and AI Authority / الهيئة السعودية للبيانات والذكاء الاصطناعي).

Надзорные органы по странам :

Мы можем обновить настоящую политику в любое время. При существенном изменении мы уведомим вас по электронной почте или уведомлением на платформе. Продолжение использования Lyriot после такого уведомления означает согласие с изменениями.

Настоящая политика составлена на французском языке. Версии на других языках являются переводами и предоставляются исключительно в информационных целях; в случае расхождений юридическую силу имеет только французская версия.

Оператор данных: Lyriot, Франция.

По любым вопросам о ваших персональных данных, для осуществления прав по GDPR (доступ, исправление, удаление, переносимость, возражение, ограничение) или по жалобам на обработку ваших данных: форма обратной связи либо напрямую contact@lyriot.com.

Вы также можете подать жалобу в компетентный надзорный орган: Commission Nationale de l'Informatique et des Libertés (CNIL), 3 Place de Fontenoy, 75007 Париж.