Политика конфиденциальности Hakta ID

Коротко

• Hakta ID — единая учётная запись для сервисов hakta. Её назначение - подтверждать другим сервисам, что вы это вы и давать единый доступ с одного аккаунта ко всей экосистеме.
• Мы храним минимум: имя, контакт, отпечаток пароля и то, что нужно для безопасности входа.
• Когда вы входите во внешний сервис через Hakta ID, мы передаём ему ваши данные. Что именно — написано ниже.
• Пароль не передаётся никогда и никому, включая подключённые сервисы. Мы и сами его не знаем так как храним в зашифрованном виде.
• Данные не продаются и не используются для рекламы. Единственное, что ваши обезличенные данные как пользователя могут быть использованы для аналитики посещаемости в сервисах Яндекс Метрика и AppMetrika.

Кто обрабатывает данные

Оператор — ООО «Хакта», ИНН 1660213631, КПП 166001001, Вопросы об обработке данных можно задавать: privacy@hakta.pro.

Какие данные мы получаем

От вас при регистрации: имя, адрес электронной почты или номер телефона, пароль.

Мы создаём сами: внутренний идентификатор учётной записи и короткое имя HaktaId — оно не меняется при смене почты и телефона, поэтому по нему вас узнают подключённые сервисы.

Если вы включаете дополнительную защиту: ключ приложения-аутентификатора, коды восстановления, открытые ключи passkey. Отпечаток пальца и снимок лица к нам не попадают: их проверяет ваше устройство, а нам сообщает только результат.

Автоматически при каждом обращении: IP-адрес, сведения о браузере, идентификатор устройства, если его передаёт приложение, время и адрес запроса. Это нужно, чтобы отличать вас от того, кто подбирает пароли.

О безопасности учётной записи: число неудачных попыток входа, блокировки, дата последнего запроса на восстановление пароля, перечень активных сеансов и то, в какие сервисы вы через них входили.

О вашем согласии: когда вы приняли эти документы, какую редакцию и с какого IP-адреса. Это подтверждение того, что обработка правомерна.

Пароль хранится необратимо преобразованным. Восстановить его из хранимого значения нельзя — ни вам, ни нам, ни тому, кто получит доступ к базе.

Что происходит, когда вы входите в сервис через Hakta ID

Это главное, ради чего существует Hakta ID, и главное, что стоит понимать про ваши данные.

Сервис, в который вы входите, просит у нас определённый набор сведений о вас. Мы передаём ему только запрошенное и только после того, как вы вошли. Передаваться могут:

• идентификатор учётной записи и HaktaId — всегда, иначе сервис не поймёт, кто пришёл;
• имя, которое вы указали;
• адрес электронной почты и отметка, подтверждён ли он;
• номер телефона и отметка, подтверждён ли он;
• ваши роли, если сервис их запрашивает.

Никогда не передаются: пароль, коды из писем и СМС, ключи двухфакторной аутентификации, ключи passkey.

Дальше сервис распоряжается полученными данными сам. Он становится самостоятельным оператором и отвечает за них по своей политике обработки персональных данных — эта политика на него уже не распространяется. Практический вывод: удаление учётной записи Hakta ID закрывает вход, но не стирает то, что сервис успел сохранить у себя. Если нужно удалить данные и там — напишите этому сервису напрямую.

Войти можно в следующие сервисы:

• hkdata-web
• Reqova
• Нодра (nodra)
• Чек-чек!

Перечень актуален на момент просмотра страницы.

Кому ещё мы передаём данные

• АО ИОТ — на его серверах работает Hakta ID и хранится база данных.
• Юнисендер — через него уходят письма с кодами подтверждения и ссылками восстановления доступа.
• Государственные органы — только по надлежаще оформленному требованию и только в объёме, который предусмотрен законом.

Оба подрядчика работают по нашему поручению и не вправе использовать ваши данные для собственных целей. Мы не продаём данные и не передаём их рекламным сетям.

Где хранятся данные

Серверы с базой данных находятся на территории Россия. Данные граждан России записываются и хранятся в России, как требует часть 5 статьи 18 закона 152-ФЗ. Трансграничную передачу мы не осуществляем.

Сколько храним

• данные учётной записи — пока она существует, и до 30 дней после удаления;
• сеансы и выданные токены — до истечения их срока, дальше удаляются автоматически;
• технические журналы с IP-адресами — не дольше 12 месяцев;
• сведения о согласии — пока существует учётная запись и 3 года после удаления;
• что обязаны хранить по закону — в течение установленного законом срока.

На каком основании

По российскому праву: ваше согласие, исполнение договора с вами, наши законные интересы в части защиты от взлома и требования закона (статья 6 закона 152-ФЗ).

Если к вам применяется GDPR, основания такие: статья 6(1)(b) — исполнение договора, для работы учётной записи; статья 6(1)(f) — законный интерес, для защиты от подбора паролей и перебора учётных записей; статья 6(1)(c) — исполнение обязанностей по закону; статья 6(1)(a) — согласие, там, где обработка не покрывается перечисленным.

Ваши права

Вы можете:

• узнать, какие данные о вас у нас есть, и получить их копию;
• исправить неточные данные;
• удалить учётную запись и данные;
• отозвать согласие — это не отменяет обработку, которая уже произошла до отзыва;
• возразить против обработки в наших законных интересах;
• потребовать ограничить обработку, пока спор не разрешён;
• получить данные в машиночитаемом виде и передать их другому оператору;
• пожаловаться в Роскомнадзор, в надзорный орган своей страны или в суд.

Часть этого вы можете сделать сами в разделе управления учётной записью: изменить имя, почту и телефон, сменить пароль, выгрузить свои данные, удалить учётную запись. По остальному напишите на privacy@hakta.pro — ответим в течение 10 рабочих дней.

Cookie

Hakta ID использует только технические cookie, без которых вход не работает: cookie сеанса (чтобы не спрашивать пароль на каждой странице), cookie защиты форм от подделки запросов, cookie запоминания второго фактора, если вы попросили его запомнить, и cookie состояния сеанса для подключённых сервисов.

Аналитических и рекламных cookie на страницах входа нет. Отключить технические cookie в браузере можно, но тогда вход работать не будет.

Безопасность

Всё работает только по HTTPS. Пароли хранятся необратимо преобразованными. Число попыток входа ограничено, при повторных неудачах пауза растёт. Коды подтверждения и ссылки восстановления доступа вырезаются из технических журналов. Доступ сотрудников к данным ограничен рабочей необходимостью.

Мы рекомендуем включить двухфакторную аутентификацию или ключ passkey: это защищает учётную запись даже в случае, если пароль стал известен посторонним.

Если произойдёт утечка, затрагивающая ваши данные, мы уведомим уполномоченный орган и вас в сроки, установленные законом.

Дети

Сервис не предназначен для детей младше возраста, с которого человек вправе самостоятельно дать согласие на обработку своих данных. Если выяснится, что учётная запись создана таким лицом без согласия законного представителя, мы её удалим.

Изменения

Мы можем менять этот документ. Новая редакция появляется на этой странице с новой датой. Если изменится состав данных, цели обработки или круг получателей, мы напишем вам на почту из учётной записи, а при необходимости попросим согласие заново.