KKiddoPay
ВойтиНачать бесплатно

Политика обеспечения безопасности персональных данных

Редакция от 24.09.2026

Документ описывает меры, которые [НАИМЕНОВАНИЕ ОПЕРАТОРА] (далее — «Оператор») принимает для защиты персональных данных в сервисе KiddoPay по ст. 18.1 и 19 Федерального закона № 152-ФЗ «О персональных данных», Постановлению Правительства РФ от 01.11.2012 № 1119 и Приказу ФСТЭК России от 18.02.2013 № 21.

1. Организационные меры

  • назначено лицо, ответственное за организацию обработки персональных данных, — контакт: [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПЕРСОНАЛЬНЫМ ДАННЫМ];
  • утверждены Политика в отношении обработки персональных данных, настоящая Политика безопасности и порядок реагирования на инциденты;
  • определены угрозы безопасности и уровень защищённости информационной системы: [УРОВЕНЬ ЗАЩИЩЁННОСТИ ПДн ПО ПП РФ № 1119];
  • доступ сотрудников к персональным данным ограничен кругом лиц, которым он необходим для работы. Сотрудники ознакомлены с требованиями законодательства о персональных данных и обязаны соблюдать конфиденциальность;
  • лица, которым поручена обработка (хостинг, отправка писем), связаны договором с обязательствами по ст. 19 Закона;
  • Оператор регулярно проводит внутренний контроль соответствия обработки требованиям Закона.

2. Технические меры

Хранение и локализация. Базы данных с персональными данными размещены в центре обработки данных на территории Российской Федерации ([НАИМЕНОВАНИЕ ХОСТИНГ-ПРОВАЙДЕРА, ИНН; ЦОД НА ТЕРРИТОРИИ РФ]). Оператор создаёт резервные копии и хранит их там же.

Шифрование при передаче. Весь обмен данными между приложениями, сайтом и сервером идёт по HTTPS (TLS).

Пароли и PIN-коды. Пароли и PIN-коды детей хранятся только в виде хешей Argon2id с уникальной «солью». Исходные значения Оператору неизвестны. После 5 неверных попыток ввода PIN вход временно блокируется.

Сессии.

  • токен доступа живёт 15 минут и хранится только в памяти приложения;
  • токен обновления хранится в защищённом хранилище устройства (Keychain, EncryptedSharedPreferences) или в httpOnly cookie, недоступной скриптам страницы;
  • при каждом обновлении токен заменяется новым;
  • повторное использование старого токена считается признаком кражи: все сессии цепочки завершаются;
  • пользователь видит список своих сессий и может завершить любую из них.

Разграничение доступа.

  • данные каждой семьи доступны только её участникам, и сервер проверяет это при каждом запросе;
  • права внутри семьи зависят от роли (владелец, взрослый, ребёнок);
  • ребёнок видит только свои данные.

Доступ сотрудников. Административная панель доступна только сотрудникам с двухфакторной аутентификацией (TOTP). Все действия сотрудников записываются в журнал аудита.

Защита от злоупотреблений.

  • ограничение частоты запросов, в том числе отдельные лимиты для входа и регистрации;
  • проверка входных данных;
  • защитные HTTP-заголовки;
  • идемпотентность денежных операций.

Минимизация данных.

  • Сервис собирает только данные, перечисленные в Политике обработки персональных данных;
  • на сайте нет сторонних скриптов, счётчиков и рекламных cookie; шрифты раздаются с собственного сервера;
  • push-уведомления, требующие передачи данных за рубеж, включаются только по отдельному согласию.

Удаление.

  • после удаления аккаунта или отзыва согласия доступ к аккаунту блокируется сразу, а персональные данные обезличиваются не позднее 30 дней;
  • истёкшие токены и коды привязки удаляются автоматически.

3. Реагирование на инциденты

При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор:

  1. устраняет причину и последствия инцидента;
  2. в течение 24 часов уведомляет Роскомнадзор: сообщает о предполагаемых причинах, предполагаемом вреде, принятых мерах и контактном лице;
  3. в течение 72 часов сообщает Роскомнадзору результаты внутреннего расследования и сведения о виновных лицах, если они установлены;
  4. при необходимости уведомляет пострадавших пользователей.

Оператор также взаимодействует с ГосСОПКА в порядке, установленном ФСБ России (ч. 12 ст. 19 Закона).

4. Сообщить об уязвимости

Если вы нашли уязвимость или подозреваете утечку данных, напишите на [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПЕРСОНАЛЬНЫМ ДАННЫМ]. Не используйте уязвимость для доступа к чужим данным. Мы подтвердим получение сообщения и сообщим о результатах проверки.