Политика конфиденциальности

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») описывает, как компания darkblue.tech осуществляет сбор, использование, хранение, передачу и защиту персональной информации пользователей сервиса централизованной идентификации и авторизации darkblue.tech ID (далее — «Сервис»).

1.2. Настоящая Политика составлена с учетом требований международного законодательства о защите персональных данных, включая Общий регламент по защите данных Европейского Союза (General Data Protection Regulation — GDPR, Regulation (EU) 2016/679), положения Конвенции Совета Европы № 108 и применимые национальные нормы.

1.3. Регистрируя учетную запись в Сервисе или используя единый вход darkblue.tech ID для доступа к сервисам экосистемы darkblue.tech или авторизованным сторонним приложениям, вы соглашаетесь с условиями сбора и обработки персональной информации, изложенными в настоящем документе.

2. Категории собираемых персональных данных

2.1. Данные, предоставляемые Пользователем напрямую:

• Регистрационные данные: действующий адрес электронной почты, уникальное имя пользователя (логин), пароль (обрабатывается исключительно в форме криптографического хэша);
• Данные профиля (указываются добровольно): имя и фамилия, контактный номер телефона, дата рождения, языковые предпочтения интерфейса, изображение профиля (аватар);
• Факторы дополнительной защиты (при активации): секретные ключи для приложений-аутентификаторов (генераторов одноразовых кодов), резервные коды восстановления доступа, открытые криптографические ключи устройств беспарольного доступа.

2.2. Данные, собираемые автоматически:

• Сетевые и технические параметры: сетевой IP-адрес, тип и версия операционной системы, тип и версия интернет-браузера, примерная категория устройства;
• Сведения об активности и сеансах: дата и время входа, отметка о последней активности в сеансе, факт смены параметров безопасности;
• Журнал безопасности: в целях предотвращения несанкционированного доступа Сервис фиксирует критические события безопасности (успешные и неудачные входы, факт смены пароля, отзыв доступов) с привязкой к IP-адресу и браузеру.

2.3. Данные внешних провайдеров (Social Login): При входе через внешние службы (Google, Yandex, GitHub) провайдер передает нам базовую подтвержденную информацию: идентификатор внешнего профиля, подтвержденный email, публичное имя и аватар.

3. Цели и правовые основания обработки данных

4. Файлы Cookie и аналогичные технологии

4.1. Сервис использует исключительно строго необходимые технические файлы cookie, требующиеся для безопасного функционирования авторизации, поддержания сеанса и защиты от подделки запросов:

• Сессионные токены аутентификации: временные зашифрованные маркеры для подтверждения личности при переходе между страницами;
• Маркеры непрерывности сеанса: долгоживущие маркеры для сохранения авторизации при активном использовании Сервиса;
• Служебные маркеры защиты от подделки запросов (CSRF): одноразовые технические маркеры, гарантирующие подлинность запросов на авторизацию;
• Маркеры маршрутизации уведомлений: технические идентификаторы клиентского окна для доставки мгновенных системных сообщений.

4.2. Все чувствительные cookie снабжаются защитными атрибутами HttpOnly, Secure и SameSite=Lax. Сервис не использует маркетинговые или рекламные cookie-файлы сторонних сетей.

5. Передача данных третьим лицам

5.1. Сервисы экосистемы darkblue.tech: При входе в официальные взаимосвязанные сервисы (Tunnel, Drive, Crewspace, Calendar, Codebox, Automate, Talk, Dario, Games) данные профиля передаются автоматически для обеспечения единого входа (SSO).

5.2. Сторонние приложения: Данные передаются сторонним сервисам исключительно на основании вашего явного согласия на экране подтверждения прав. Вы можете в любой момент отозвать ранее выданное согласие в личном кабинете.

5.3. Сервис Gravatar: Если активирована опция аватара Gravatar, в его адрес направляется необратимый криптографический хэш email-адреса. Исходный email третьей стороне не раскрывается.

5.4. Прямой запрет на продажу: darkblue.tech ни при каких обстоятельствах не продает, не сдает в аренду и не передает ваши персональные данные третьим лицам в рекламных или маркетинговых целях.

6. Сроки хранения персональных данных

6.1. Активная учетная запись: Данные хранятся в течение всего периода существования аккаунта до момента его удаления по вашей инициативе либо блокировки.

6.2. Срок действия сессий: Срок действия активной сессии составляет до 30 календарных дней. Неактивные в течение 14 дней сессии автоматически аннулируются.

6.3. Журналы безопасности: Сведения о критических событиях безопасности хранятся в течение ограниченного периода (до 12 месяцев) в целях предотвращения мошенничества и расследования инцидентов.

6.4. Удаление аккаунта: При подтверждении удаления учетной записи в личном кабинете персональные данные, настройки безопасности и активные сеансы безвозвратно удаляются из активных систем Сервиса.

7. Ваши права в отношении данных (GDPR)

В соответствии с международным законодательством о защите данных вы имеете право:

• На доступ (Right of Access): просматривать все данные профиля, сессии и выданные доступы в личном кабинете id.darkblue.tech/users/me;
• На исправление (Right to Rectification): изменять свои персональные данные через настройки профиля;
• На отзыв согласия (Right to Withdraw Consent): в один клик отзывать разрешения у любого стороннего приложения в профиле;
• На удаление («Право на забвение» / Right to Erasure): в любой момент безвозвратно удалить свой аккаунт через настройки профиля;
• На переносимость данных (Right to Data Portability): запросить копию своих данных в машиночитаемом формате;
• На подачу жалобы: обратиться в уполномоченный орган по защите прав субъектов персональных данных.

8. Меры по обеспечению безопасности данных

Оператор применяет современные криптографические и организационные меры защиты:

• Криптографическая защита паролей стойкими односторонними алгоритмами с индивидуальной солью;
• Шифрование всего сетевого трафика по протоколам TLS/HTTPS с регулярным обновлением сертификатов;
• Асимметричная электронная подпись токенов авторизации защищенными ключами;
• Многоуровневая изоляция доступа сотрудников к серверным компонентам;
• Интеллектуальное ограничение частоты запросов (Rate Limiting) для защиты от брутфорс-атак.

9. Изменение Политики конфиденциальности

9.1. Оператор вправе периодически обновлять настоящую Политику. Действующая редакция всегда доступна по адресу https://id.darkblue.tech/privacy с указанием даты обновления.

9.2. При существенных изменениях Пользователи уведомляются через интерфейс Сервиса либо по электронной почте.