Родна

Политика обработки персональных данных и конфиденциальности

Дата редакции: 23 августа 2026 года.

1. Общие положения

1.1. Эта Политика объясняет, какие персональные данные обрабатываются в семейном сервисе «Родна» на сайте rodna.org, зачем они нужны, кому могут передаваться и как человек может реализовать свои права.

1.2. Оператор персональных данных — Никифорова Елена Александровна, ИНН 430344444533, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» (самозанятая).

Адрес для юридически значимых сообщений: [[ЗАПОЛНИТЬ: адрес для направления юридически значимых сообщений]].

Уведомление об обработке персональных данных: [[ЗАПОЛНИТЬ: номер и дата уведомления Роскомнадзора]].

1.3. Контакты Оператора:

  • support@rodna.org — вопросы о работе сервиса;
  • abuse@rodna.org — запросы субъектов персональных данных, возражения и жалобы;
  • форма поддержки: rodna.org/support/.

1.4. Эта Политика является инженерным проектом публичного документа. До публикации её окончательную редакцию, реквизиты Оператора, основания обработки и договоры с получателями данных проверяет юрист.

2. Принципы и основания обработки

2.1. Оператор обрабатывает только данные, необходимые для заявленных целей, не объединяет несовместимые цели и не использует семейные материалы для рекламы или обучения моделей искусственного интеллекта.

2.2. В зависимости от ситуации основаниями обработки являются:

  • отдельное согласие человека на обработку его персональных данных;
  • исполнение пользовательского соглашения и платного заказа, стороной или выгодоприобретателем которого является человек;
  • исполнение обязанностей Оператора, установленных законом, включая обязанности по расчётам, налоговому учёту, рассмотрению обращений и защите персональных данных;
  • осуществление прав и законных интересов Оператора или третьих лиц при условии, что права и свободы субъекта персональных данных не нарушаются;
  • иные основания, прямо предусмотренные законодательством Российской Федерации.

2.3. Пользователь вносит сведения о родственниках для личной и семейной цели в закрытое пространство. Пользователь обязан иметь правомерное основание для внесения данных живого человека и учитывать его возражения. Закрытость пространства уменьшает риск раскрытия, но сама по себе не заменяет согласие или другое основание, когда оно требуется законом.

3. Категории субъектов, источники и цели

3.1. Оператор может обрабатывать данные:

  • пользователей, которые входят в «Родну» и участвуют в семейных пространствах;
  • живых родственников и других лиц, карточки которых создали пользователи;
  • дарителей и получателей подарочного семейного древа;
  • покупателей платных возможностей;
  • лиц, направивших обращение в поддержку или жалобу о данных;
  • посетителей сайта, выбравших настройки cookie.

3.2. Источники данных — сам субъект, пользователь семейного пространства, даритель, технические средства сайта, платёжный и почтовый провайдеры в пределах необходимых статусов операции.

3.3. Основные цели обработки:

  • регистрация, вход без пароля, ведение аккаунта и сессии;
  • создание закрытых семейных пространств, карточек, связей, историй и фотографий;
  • разграничение ролей owner, editor и viewer;
  • приглашение родственников и вручение подарочного древа;
  • приём оплаты, возврат, сверка статуса платежа и обязательный учёт;
  • техническая поддержка, рассмотрение возражений и модерация;
  • защита аккаунтов и сервиса, расследование инцидентов;
  • формирование культурно-исторической гипотезы о фамилии;
  • необязательная аналитика сайта только после отдельного разрешения;
  • информационная рассылка только после отдельного необязательного согласия.

4. Какие данные обрабатываются

4.1. Аккаунт и вход: email, отображаемое имя, внутренние идентификаторы WordPress, даты создания и изменения аккаунта, сведения о сессиях, хеш одноразового кода и технические данные одноразовой ссылки в защищённом временном хранилище, факты выдачи и проверки. В одном письме находятся кнопка «Войти» и резервный шестизначный код; они относятся к одному сеансу входа, действуют 10 минут и после успешного использования перестают работать. Выпуск нового письма делает недействительными предыдущие ссылку и код. После пяти неудачных попыток код аннулируется. На один email и один IP допускается не более пяти отправок письма в час, между отправками действует пауза 60 секунд.

4.2. Доказательства согласий: идентификатор пользователя, цель согласия, действие «принято» или «отозвано», версия документа, дата и IP-адрес. Обязательные согласие на обработку персональных данных и принятие пользовательского соглашения фиксируются отдельно; согласие на рассылку является третьим, необязательным событием.

4.3. Семейные карточки: имя, фамилия, отчество, девичья фамилия, пол, полная или частичная дата и место рождения и смерти, признак того, жив ли человек, биография, фотографии, семейные связи, сведения об авторстве карточки и о привязке карточки к аккаунту. Даты могут быть неполными: год, год и месяц либо полная дата.

4.4. Роли и приглашения: участие в пространстве, роль, дата присоединения, создатель и получатель приглашения, хеш одноразового токена и срок его действия.

4.5. Подарок: имя и email получателя, текст поздравления, выбранные дата и время доставки, статус вручения, выбор дарителя остаться редактором, доказательство подтверждения дарителя, хеш подарочного токена. В текущей версии доставка работает только по email; номер телефона не собирается.

4.6. Платёж: вид продукта, сумма, валюта, промокод и скидка, идентификаторы и статусы платежа и возврата, технические даты и минимальный набор ответа ЮKassa для сверки. Реквизиты банковской карты «Родна» не получает и не хранит: покупатель вводит их на стороне ЮKassa. Объекты клиента, контакта и чека из ответа провайдера в локальный платёжный payload не сохраняются.

4.7. Поддержка и жалобы: имя, email, тема и текст обращения, необязательный снимок экрана, статус обращения, технический контекст тарифа и сокращённый User-Agent. По жалобе о карточке также сохраняются UUID обращения, карточки и пространства, решение, краткое основание, время и идентификатор модератора.

4.8. Безопасность: тип и результат события, связанные идентификаторы аккаунтов, тип объекта, время, необратимые HMAC-хеши IP-адреса и идентификатора объекта. Сырые IP, UUID, адреса маршрутов и строки аккаунта в журнал безопасности не записываются.

4.9. История фамилии: ИИ-провайдеру передаётся только нормализованная фамилия и строгая инструкция сформировать отчёт. Не передаются ID пространства, имена, даты, места, биографии, фотографии, семейные связи, email и другие контакты.

5. Действия с данными и способы обработки

5.1. Оператор может собирать, записывать, систематизировать, накапливать, хранить, уточнять, извлекать, использовать, передавать указанным в разделе 7 получателям, предоставлять в пределах прав доступа, блокировать, обезличивать, удалять и уничтожать данные.

5.2. Обработка выполняется автоматизированно и смешанным способом. Семейные данные не размещаются в публичном поиске, sitemap и открытом каталоге. Доступ к обычному пространству получают только его участники.

5.3. До принятия подарка существует исключение: открытка и предзаполненное древо доступны по секретной ссылке. Такая страница закрыта от индексации, но любой человек, получивший ссылку, технически может её открыть. Даритель и получатель должны не публиковать ссылку и сообщить Оператору о её утрате.

6. Где хранятся данные и локализация

6.1. Основная база WordPress/MySQL и семейные фотографии размещаются на хостинге Beget в Российской Федерации. Транзакционные письма отправляются через SMTP Beget.

6.2. Площадку и сроки хранения резервных копий необходимо подтвердить до публикации: [[ЗАПОЛНИТЬ: срок и площадка хранения резервных копий]].

6.3. Оператор не принимает решение о переносе первичной базы персональных данных за пределы Российской Федерации без отдельной правовой и технической проверки.

7. Получатели и трансграничная передача

7.1. Доступ или необходимый минимум данных могут получать:

  • Beget (Российская Федерация) — хостинг базы, файлов и SMTP-доставка писем;
  • ЮKassa — сумма, валюта, описание продукта, UUID подарка и платежа, технические статусы оплаты и возврата; платёжные реквизиты покупатель сообщает ЮKassa напрямую;
  • ИИ-провайдер API Claude — только нормализованная фамилия и системная инструкция;
  • Яндекс Метрика — технические данные браузера и посещения только после нажатия «Разрешить аналитику»;
  • государственные органы — только в случаях и объёме, предусмотренных законом.

7.2. Точное договорное наименование ИИ-провайдера, страна обработки, договорное основание и требуемая процедура трансграничной передачи должны быть подтверждены до включения функции: [[ЗАПОЛНИТЬ: договорное наименование ИИ-провайдера, страна обработки и основание трансграничной передачи]].

7.3. На дату этой редакции production-ключ ИИ, production-ключи ЮKassa, цены и ID счётчика Яндекс Метрики не настроены. Соответствующие внешние вызовы не выполняются. Перед их включением Оператор обновляет фактические реквизиты и выполняет необходимые действия по закону.

7.4. Оператор не продаёт персональные данные, не передаёт семейный контент для рекламы и не предоставляет его для обучения моделей.

8. Сроки хранения и удаление

8.1. Данные хранятся не дольше, чем это требуется целью обработки, договором или законом. Фактические автоматизированные сроки сервиса:

  • запрос удаления аккаунта исполняется через 30 дней; успешный вход в этот период отменяет удаление;
  • удалённая пользователем карточка человека и её фотографии находятся в корзине 30 дней, затем удаляются окончательно;
  • удалённое владельцем семейное пространство находится в корзине 7 дней, затем удаляется вместе с карточками, связями и фотографиями;
  • если после удаления владельца нет редактора, базовый срок заморозки пространства только для чтения — 90 дней; активный подарочный сценарий продлевает хранение до более позднего окончания доставки и срока действия подарочного токена;
  • одноразовое приглашение действительно 30 дней;
  • подарочная ссылка действительна 90 дней со дня отправки письма;
  • журнал событий безопасности хранится 90 дней и очищается ежедневным заданием;
  • скрытая по подтверждённой жалобе карточка удаляется окончательно через 30 дней.

8.2. После окончательного удаления аккаунта удаляются аккаунт, членство в пространствах и журнал согласий; ссылки на автора семейных записей обезличиваются. Сами семейные карточки остаются соответствующему пространству. Владение передаётся старейшему редактору, а при его отсутствии действует заморозка из пункта 8.1 с указанным там исключением для активного подарка.

8.3. Платёжная запись сохраняется после удаления аккаунта с обезличенным идентификатором покупателя и минимальным набором данных, необходимым для возврата, сверки и учёта. Согласованные сроки хранения платёжных и бухгалтерских данных: [[ЗАПОЛНИТЬ: сроки хранения платёжных и бухгалтерских данных]].

8.4. Для обращений поддержки, анонимных обращений, отправленных писем и неизменяемого журнала модерации код пока не задаёт общий автоматический срок удаления. До запуска его утверждает юрист, после чего срок и очистка должны совпадать: [[ЗАПОЛНИТЬ: срок хранения обращений поддержки, анонимных обращений, email outbox и журнала модерации]].

8.5. Истёкшее или использованное приглашение становится недействительным, но отдельный автоматический purge его строки сейчас не реализован: запись удаляется вместе с пространством, а ссылки на создателя и получателя обезличиваются при удалении их аккаунтов. Этот срок требует отдельного решения Оператора и юриста.

8.6. Получатель подарка до его принятия может перейти по ссылке из письма, удалить переданные о нём имя, email и поздравление и отменить доставку. Подарочная ссылка отзывается, даритель получает транзакционное уведомление.

8.7. Нормализованная фамилия и сформированный ИИ-отчёт сохраняются в общем кеше сервиса, чтобы не передавать одну фамилию провайдеру повторно. При удалении аккаунта идентификатор заказавшего пользователя обезличивается, а при удалении пространства ссылка на него обнуляется. Автоматический срок удаления самого кеша кодом не задан: [[ЗАПОЛНИТЬ: срок хранения глобального кеша отчётов о фамилиях]].

9. Права человека и порядок обращения

9.1. Субъект персональных данных вправе получить сведения об обработке, потребовать уточнения, ограничения, блокирования или уничтожения данных, отозвать согласие, возражать против обработки и обжаловать действия Оператора в Роскомнадзор или суд. Права могут быть ограничены только в случаях, предусмотренных законом, в том числе для защиты прав других участников семейного пространства.

9.2. Пользователь может:

  • исправлять доступные ему семейные карточки в интерфейсе;
  • выгрузить принадлежащее ему пространство в JSON;
  • включить или отключить необязательную рассылку в разделе аккаунта;
  • запросить удаление аккаунта и отменить его повторным входом в течение 30 дней.

9.3. Живой человек, обнаруживший сведения о себе в чужом древе, может открыть форму удаления данных или написать на abuse@rodna.org. Подробная процедура изложена на странице «Данные о родственниках».

9.4. Для защиты других членов семьи Оператор проверяет личность минимально достаточным способом. Паспорт не запрашивается, если достаточно входа по одноразовому коду, ответа с ранее подтверждённого адреса или иных менее избыточных признаков. Ответ не раскрывает заявителю данные других участников.

9.5. Срок ответа зависит от вида требования. Запрос о доступе рассматривается в срок, установленный законом; по общему правилу — 10 рабочих дней с возможным мотивированным продлением не более чем на 5 рабочих дней. При заявлении о неправомерной обработке спорные данные блокируются на период проверки в предусмотренных законом случаях.

10. Cookie и Яндекс Метрика

10.1. Баннер называется «Cookie в Родне» и сообщает: «Необходимые cookie поддерживают вход и безопасность. Яндекс Метрика включится только с вашего разрешения».

10.2. Кнопка «Разрешить аналитику» сохраняет выбор и разрешает загрузить Яндекс Метрику, только если Оператор настроил корректный ID счётчика. Кнопка «Только необходимые» сохраняет отказ и не загружает Метрику. Cookie drevo_cookie_choice_v1 устанавливается на срок до одного года; дублирующая запись в localStorage хранится до изменения выбора пользователем или очистки данных сайта в браузере и читается приоритетно.

10.3. Необходимые cookie WordPress обеспечивают вход, сессию и безопасность. Если пользователь включает «Оставаться в Родне 14 дней», cookie входа может сохранять сессию до 14 дней. Без необходимых cookie вход и закрытые функции не работают.

10.4. Кнопка «Настройки cookie» в футере снова открывает баннер. Выбор «Только необходимые» после ранее разрешённой аналитики удаляет доступные JavaScript host- и domain-cookie Яндекс Метрики (_ym*, yandexuid, yuidss) и перезагружает страницу, если счётчик уже был загружен.

10.5. На страницах с подарочным токеном и других закрытых continuation-маршрутах ID Метрики не передаётся независимо от выбора пользователя. В текущей конфигурации ID счётчика не задан, поэтому скрипт Метрики не загружается.

11. Безопасность и инциденты

11.1. Оператор применяет разграничение доступа по ролям, приватное хранение семейных фотографий, хеширование секретных токенов, журнал событий с хешированными техническими идентификаторами и иные организационные и технические меры.

11.2. Абсолютная безопасность передачи и хранения данных технически невозможна. При выявлении инцидента, повлекшего нарушение прав субъектов, Оператор действует по плану реагирования и направляет в Роскомнадзор первичное уведомление в течение 24 часов, а результаты внутреннего расследования — в течение 72 часов с момента выявления.

12. Возраст

12.1. Аккаунт и платные услуги предназначены для лиц от 18 лет. Если Оператор узнает, что аккаунт создан лицом младше 18 лет без надлежащего законного основания, доступ может быть ограничен до проверки и решения о данных.

13. Изменение Политики

13.1. Актуальная редакция размещается на rodna.org с датой и версией. Изменения не имеют обратной силы и не уменьшают уже возникшие права человека.

13.2. Если изменение требует нового согласия, сервис запросит его отдельно и не будет считать молчание или продолжение просмотра сайта согласием. До принятия обязательной новой версии функции, для которых она необходима, могут быть недоступны.

—

Версия документа: privacy-policy-v1-2026-08-23.