Политика конфиденциальности

Эта политика описывает, какие данные обрабатывает сервис BotBan (далее — «Сервис», «мы»), для чего, на каком основании, как долго хранит и как их удалить. Она действует в отношении сайта botban.ru, личного кабинета и модулей защиты, которые клиенты устанавливают на свои сайты. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Две роли: чьи данные и кто оператор

Мы обрабатываем данные двух разных групп людей, и роли в них разные.

• Пользователи Сервиса — те, кто регистрируется в кабинете и подключает свои сайты. В отношении их данных мы — оператор.
• Посетители защищаемых сайтов — люди, которые открывают сайт клиента, где стоит наш модуль. Оператором их данных является владелец сайта; мы обрабатываем эти данные по его поручению (статья 6, часть 3 закона № 152-ФЗ) и только для того, чтобы отличить автоматический трафик от живого посетителя.

2. Данные пользователей Сервиса

При регистрации и работе в кабинете мы обрабатываем:

• имя (как к вам обращаться), адрес электронной почты, пароль в виде необратимого хэша;
• адрес и время принятия соглашения и согласия;
• идентификатор чата Telegram — если вы сами привязали уведомления;
• домены подключённых сайтов, их настройки, статистику визитов;
• переписку с поддержкой и приложенные к ней файлы;
• технические данные сессии: IP-адрес, User-Agent, cookie сессии.

Цели: предоставление доступа к кабинету, оказание услуги защиты, поддержка, уведомления о работе защиты и о состоянии тарифа, выставление счетов. Основание: договор (пользовательское соглашение) и ваше согласие, которое вы даёте при регистрации. Рекламные рассылки мы не ведём.

3. Данные посетителей защищаемых сайтов

Модуль на сайте клиента передаёт нам на каждый визит:

• IP-адрес посетителя;
• строку User-Agent и несколько технических заголовков запроса (Accept, Accept-Language, Sec-Fetch-*, Sec-CH-UA);
• метод запроса, путь страницы, строку запроса и адрес перехода (Referer);
• если подключён скрипт — обезличенные признаки браузера: размер экрана, часовой пояс, количество языков, хэш отрисовки canvas и WebGL, признаки автоматизации. Сами изображения, шрифты, содержимое страниц и вводимые данные не передаются.

Имя, почта, телефон и содержимое форм посетителя не собираются: модуль работает до того, как сайт получит запрос, и не читает тело формы.

Цель одна — принять решение, пропустить ли запрос, и показать владельцу сайта, почему решение было таким. По этим данным мы не строим профили людей, не продаём их, не передаём рекламным сетям и не объединяем между сайтами разных клиентов, кроме одного случая: репутация IP-адреса, с которого шли автоматические запросы, может учитываться при защите других сайтов. Владелец сайта может отключить это в настройках («общая репутация»).

Срок хранения. Сырой журнал визитов хранится 30 дней, после чего удаляется автоматически. Сводная статистика по дням (количество визитов и решений без адресов) хранится, пока сайт подключён к Сервису.

4. Cookie

На botban.ru используются только технически необходимые cookie: сессия кабинета, защита от подделки запросов (CSRF), запоминание выбранной темы оформления. Счётчиков посещаемости и рекламных трекеров на сайте нет. На сайтах клиентов модуль может выставлять одну cookie (bb_pass) сроком на сутки — она означает, что браузер прошёл проверку, и ничего не хранит, кроме кода проверки.

5. Где хранятся данные

Базы данных и серверы Сервиса размещены на территории Российской Федерации. Трансграничная передача персональных данных не осуществляется.

6. Кому передаются данные

Персональные данные не передаются третьим лицам, за исключением:

• хостинг-провайдера, на чьих серверах размещён Сервис (обработка по нашему поручению);
• Telegram — только идентификатор чата и текст уведомления, если вы сами включили уведомления;
• случаев, прямо предусмотренных законом, по запросу уполномоченных органов.

7. Ваши права

Вы можете в любой момент:

• посмотреть и изменить данные аккаунта в разделе «Аккаунт»;
• отозвать согласие и удалить аккаунт — написав на privacy@botban.ru с адреса, указанного при регистрации; после этого аккаунт, сайты и журнал визитов удаляются в течение 30 дней, а переписка с поддержкой — по истечении срока, нужного для разрешения споров;
• получить сведения об обработке ваших данных — мы ответим в течение 10 рабочих дней.

Если вы посетитель сайта клиента и считаете, что защита ошиблась, обратитесь к владельцу сайта: решение о блокировке принимает его настройка, и снять её может он. Если вы не знаете, как с ним связаться, напишите нам — мы передадим обращение.

8. Как мы защищаем данные

• соединения только по HTTPS; секретные ключи модуля и API-токены хранятся в виде хэшей;
• доступ в кабинет — по паролю, с возможностью двухфакторной аутентификации;
• данные разных клиентов изолированы на уровне приложения: пользователь видит только свои сайты;
• журнал визитов удаляется по сроку автоматически;
• доступ сотрудников к данным ограничен задачами поддержки и фиксируется.

9. Изменения

Мы можем обновлять политику. Дата редакции указана вверху страницы; о существенных изменениях уведомляем по почте не менее чем за 7 дней до вступления в силу.