Персональные данные и где они обитают

Для меня «Политика конфиденциальности» и «Пользовательское соглашение» — это вещи, которые только мозолят глаза и заставляют нажать лишнюю кнопку «Продолжить». Но не сегодня.

В связи с обновлением документов для одного из своих приложений пришлось писать свои. Но для начала решил посмотреть, как там нормальные люди делают.

Я ни разу не юрист, но от некоторых формулировок волосы зашевелились.

Это что вообще за покемон?

Пользовательское соглашение — правила отношений между сервисом и пользователем. Что умеет делать сервис, что может делать пользователь, кто за что отвечает и когда всё это закончится.

Политика конфиденциальности aka Политика обработки персональных данных — это карта того, что сервис на самом деле делает с персональными данными. Какие данные и зачем получает, где хранит, кому передаёт, как удалить и куда писать, если что-то пошло не так.

Согласие на обработку персональных данных — это отдельное «да» пользователя на конкретную обработку, когда сервису вообще нужно опираться именно на согласие. Из хороших новостей: для работы приложения обычно достаточно Соглашения. Отдельное согласие нужно не на всё подряд, а для особых вещей вроде рекламы, биометрии или данных о здоровье.

А теперь — мякотка.

Одна кнопка, чтобы править всеми

«Нажимая “Продолжить”, вы принимаете Соглашение, Политику и даёте согласие на обработку персональных данных».

Соглашение и Политику можно показать рядом. Но согласие на обработку ПД нельзя незаметно засунуть в общую кнопку «Поехали». Пользователь должен отдельно подтвердить, что он согласен на эту обработку, а не автоматически согласился вообще со всем.

Или комбо «Вы даёте бессрочное безотзывное письменное согласие на любые способы обработки персональных данных, включая трансграничную передачу» плюс «требования граждан … не подлежат судебной защите». Это больше похоже на контракт с Тёмным дворецким (только без сверхспособностей и без дворецкого).

Ловушка Джокера

«Если согласен — будем собирать твои данные, а если не согласен — то тоже будем собирать, чтобы проанализировать и догнать рекламой».

Технические данные иногда действительно нужны для загрузки страницы, защиты от ботов или диагностики ошибок, но не надо делать вид, что ничего не собирается.

А если данные потом идут в рекламу или рекламную аналитику — это вообще отдельная история, которую нельзя прятать за заботой о пользователях.

Трансграничный экспресс

Обычное дело:

• игра пишет, что трансграничной передачи нет, но пользовательские запросы с идентификаторами и техническими данными идут через Vercel;
• приложение обещает, что данные никуда не передаются, но отправляет рост, вес, фото и телосложение в ChatGPT;
• сайт гарантирует, что сервер российский, а IP ведёт к немецкому хостеру.

Не можете жить без Sentry — хотя бы признайтесь. Ну, или поставьте self-hosted.

Но для передачи данных за границу недостаточно написать об этом в Политике и поставить соответствующую отметку в уведомлении оператора ПД. До начала передачи нужно отдельно уведомить Роскомнадзор. Он посмотрит, куда, зачем и какие данные собираются отправлять — и может передачу ограничить или вообще запретить.

Используешь VK ID, но делаешь это без уважения

«Мы ничего не собираем, нам всё отдаёт ВКонтакте».

То, что данные пришли напрямую через API ВКонтакте, ничего не меняет. ID, имя, аватар, город и другие сведения всё равно остаются персональными данными.

К данным, полученным через API, приложение подмешивает ещё свой слой — прогресс, ачивки, настройки, покупки, результаты тестов и любимый цвет пользователя. И, в лучших традициях зельеварения, в связке с ID они тоже становятся ПД.

Поэтому фраза «мы обрабатываем исключительно ID ВКонтакте» обычно означает обратное: мы обрабатываем ID и всё, что успели к нему прикрутить.

Бери всё — и не отдавай ничего

Зачем игре доступ к моим сообществам?
Зачем тюнеру хранить моё имя?
Зачем сервису моя любимая музыка, образование, фото и аудио?

Кстати, публичный API ВКонтакте для аудиозаписей закрыли ещё в 2016 году. Поэтому упоминание аудио в свежей политике выглядит как минимум странно.

Многие приложения прекрасно могут работать без лишних данных. И «лишние данные» — не пустой звук: сервис должен собирать ровно столько, сколько нужно для цели, а не всё, до чего смог дотянуться.

Но собрать — это только половина дела.

У большинства приложений нет кнопки «Удалить профиль», у многих нет контакта разработчика, чтобы об этом попросить. А «просто перестать пользоваться» — не то же самое, что удалить свои персональные данные.

По секрету всему свету

Иногда политика выглядит так, будто её написали для всех сервисов на свете. Apple Game Center, OpenID, Tapjoy, AppsFlyer, плагины соцсетей, AdRiver, «и другие системы», IMEI, Android ID, MAC-адрес, рекламный пиксель и ещё миллион способов потерять голову.

Один документ на несколько приложений сам по себе не проблема. Проблема — когда приложения абсолютно разные, а всё их содержимое смешали в одной политике и ещё накинули сверху про запас. Она должна отражать не тёмное прошлое и не светлое будущее, а реальное положение дел.

Но если приложение действительно всё это использует, то сочувствую его пользователям.

Краткость — сестра таланта, но не оператора ПД

Документы не обязаны быть юридической простынёй, но из них должно быть понятно хотя бы самое важное:

• кто собирает данные,
• какие именно данные собирает и зачем,
• где они хранятся и куда могут уйти,
• как удалить аккаунт и данные,
• куда писать, если что-то пошло не так.

«Мы няшечки, собираем совсем немного и никому не показываем» — хорошее саммари, но плохая политика.

Особенно странно смотрится «Данные третьим лицам не передаются» рядом с «Для обработки запросов используются AI-сервисы». Какие именно сервисы, что конкретно туда передаётся, где они находятся — останется загадкой.

Сел на пенёк — косарь должен

Отдельная история — возвраты покупок.

Не обязательно обещать автоматический возврат за любую неиспользованную внутреннюю валюту в любой ситуации, но фразы типа «при любых обстоятельствах ответственность ограничена 1 000 (одной тысячью) рублей» или «частичные возвраты не допускаются» — не заклинания, которые снимают с сервиса любую ответственность.

У ограничения может быть нормальная причина (а может и не быть), но нужно явное пояснение в Соглашении — почему именно так и что на этот счёт думает закон о защите прав потребителей.

Но пользователь уже понял, что закупаться оптом тут не стоит.

Фокус с исчезновением

«Данные формы обратной связи не сохраняются в базе данных сайта», но «отправляются в закрытую группу Telegram».

Вот только данные от этого не исчезли, а просто сменили место хранения и оказались где угодно — на сервере ТГ, у администраторов группы, в истории переписки, в пересланных сообщениях и локальных копиях.

Я бы всё-таки предпочёл, чтобы мои данные лежали в одной защищённой базе, а не были размазаны по всему интернету.

We need to go deeper

А если пойти дальше и открыть вкладку Network в девтулзах, то можно найти много подозрительного.

«Мы никому ничего не передаём» — но браузер отправляет запросы в Google Analytics. «Данные на территории РФ» — а приложение пишет их в Firebase. «Не следим за действиями пользователей» — и рядом сидит работающий Вебвизор.

Это, конечно, не доказывает, что сервис занимается трансгалактической передачей данных на Скаро, но показывает, где в документах фантазии, а где реальность. Истина обычно посередине.

Вместо выводов

На самом деле всё проще.

Не надо врать ни себе, ни пользователям.

Ничего страшного не случится, если честно написать: «используем Sentry для мониторинга ошибок», «для обработки изображений в OpenAI отправляется обезличенный запрос», «для рекламы подключена внешняя аналитика». Что именно хранится, где, зачем, без каких данных приложение не работает, а от каких можно спокойно отказаться — вот что должно быть понятно пользователю.

Главное — в твёрдом уме и здравой памяти перечитать документы перед публикацией и не забывать их потом обновлять. Боюсь, пользователи уже не могут написать вам в ICQ.