Datenschutzrichtlinie
Richtlinie zur Verarbeitung personenbezogener Daten von ZARDO VPN
Richtlinie zur Verarbeitung personenbezogener Daten von ZARDO VPN
Die Richtlinie wurde gemäß dem Föderalen Gesetz vom 27.07.2006 Nr. 152-FZ „Über personenbezogene Daten“ erstellt und gilt für zardovpn.com, den Kontobereich und die ZARDO VPN-Apps.
1. Verantwortlicher
1.1. Verantwortlicher für die Verarbeitung personenbezogener Daten: Alexey Vasilyevich Burkovsky, Zahler der Steuer auf berufliche Einkünfte, Steueridentifikationsnummer 250214498711 (nachfolgend „Verantwortlicher“).
1.2. Kontaktadresse für Fragen zu personenbezogenen Daten: abvpc@mail.ru.
2. Grundsätze
2.1. Der Verantwortliche erhebt nur Daten, die erforderlich sind, um die Leistung zu erbringen, Zahlungen anzunehmen, gesetzliche Pflichten zu erfüllen und den Dienst vor Missbrauch zu schützen.
2.2. Daten werden rechtmäßig, für zuvor festgelegte Zwecke und nicht länger als für diese Zwecke erforderlich verarbeitet.
2.3. Der Verantwortliche verkauft keine personenbezogenen Daten und gibt sie nicht zu Werbezwecken weiter.
2.4. Der Verantwortliche verarbeitet keine besonderen Kategorien personenbezogener Daten (zu Gesundheit, Überzeugungen, Nationalität usw.) und keine biometrischen Daten.
3. Verarbeitete Daten
| Kategorie | Enthaltene Daten | Herkunft |
|---|---|---|
| Kontodaten | E-Mail-Adresse und geschütztes (gehashtes) Passwort. Die Zusammensetzung der Daten externer Anmeldedienste und die Verfügbarkeit bestimmter Anbieter müssen gesondert geprüft werden; diese Richtlinie stellt sie nicht als aktiv dar. Name, Telefonnummer und Anschrift werden bei der Registrierung nicht abgefragt | Vom Nutzer |
| Geräte und Zugang | Interne Gerätenummer im Dienst, Gerätename (falls vom Nutzer festgelegt), Plattform und App-Version, Verbindungsschlüssel, Datum der letzten Verbindung, Laufzeit und Zugangsstatus | Automatisch bei Nutzung |
| Technische Website-Daten | Betriebsprotokolle: Zeitpunkt, Anfragekategorie, Methode, Status und Verarbeitungsdauer. Das geprüfte sichere VPN-access-log erfasst keine IP-Adresse, vollständige URL, Abfrageparameter, Cookies oder User-Agent; Fehlerprotokolle können Adressen enthalten. Technische Cookies | Automatisch beim Zugriff auf die Website |
| Abrechnungen | Bestellnummer, Betrag, Währung, Zahlungsmethode, Zahlungsstatus und -kennung, Belegdaten | Vom Nutzer und vom Zahlungsdienst |
| Anfragen | Vom Nutzer gesendete Korrespondenz und Diagnosedateien. Der Dienst speichert außerdem technische Ereignisse, Verbindungsversuche und während des Betriebs erstellte Diagnoseaufzeichnungen | Vom Nutzer und automatisch während des Betriebs |
| Empfehlungsprogramm | Noch nicht gestartet; die Richtlinie beschreibt keine Empfehlungsbeziehungen als laufende Datenerhebung | — |
Für Verbindungen werden nur technische Angaben gespeichert: Zeitpunkt und Status der Verbindung, Zeitpunkt des letzten Datenaustauschs, Dauer und Zähler des übertragenen Datenvolumens, jeweils mit Bezug zu Konto und Gerät. Sie dienen der Einhaltung des Gerätelimits, der Bereitstellung des Zugangs und der Fehlersuche bei Verbindungen. Dies ist keine Richtlinie zur Protokollierung von null Daten: Geräte- und Verbindungsaufzeichnungen, der Zeitpunkt des letzten Austauschs (Handshake), Diagnosedaten und Betriebsprotokolle werden gespeichert. Ein Teil der Aufzeichnungen wird in Sicherungskopien aufgenommen.
4. Was der Verantwortliche nicht tut
4.1. Der Verantwortliche fragt weder die vollständige Bankkartennummer noch deren Ablaufdatum oder Sicherheitscode ab und speichert diese Daten nicht; sie werden vom Zahlungsdienst verarbeitet.
4.2. Die geprüften Betriebsprotokolle und Verbindungsdaten sind in Abschnitt 3 beschrieben; Fristen und Grenzen der Löschung stehen in Abschnitt 8. Das Vorhandensein technischer Aufzeichnungen bedeutet nicht, dass keine Protokolle gespeichert werden.
4.3. Die Richtlinie sieht den Verzicht auf Werbe- und Drittanbieter-Analysetracker in Apps und Kontobereich vor. Die Umsetzung auf allen Oberflächen muss vor der Veröffentlichung gesondert überprüft werden.
4.4. Der Verantwortliche trifft keine Entscheidungen, die rechtliche Folgen für den Nutzer haben, ausschließlich auf Grundlage automatisierter Verarbeitung. Eine automatische Sperrung bei Anzeichen eines Angriffs oder Missbrauchs wird auf Anfrage des Nutzers von einem Menschen geprüft.
5. Zwecke und Rechtsgrundlagen
| Zweck | Daten | Grundlage (Artikel 6 des Gesetzes 152-FZ) |
|---|---|---|
| Registrierung, Anmeldung, Zugang und Geräteverwaltung | Konto, Geräte, technische Daten | Vertragserfüllung (Abs. 5 Teil 1) |
| Zahlungsannahme, Erstattungen, Belege | Abrechnungen, E-Mail | Vertragserfüllung; gesetzliche Pflichten zur Steuer auf berufliche Einkünfte (Abs. 2 Teil 1) |
| Support und Beantwortung von Anfragen | Anfragen, Kontaktdaten | Vertragserfüllung |
| Fehleruntersuchung und Verbesserung der Stabilität | Technische Daten, Diagnoseberichte | Vertragserfüllung; berechtigtes Interesse des Verantwortlichen (Abs. 7 Teil 1) |
| Schutz vor Angriffen, Betrug und wiederholten Testzeiträumen | Technische Daten, Geräte | Berechtigtes Interesse des Verantwortlichen |
| Dienstmitteilungen (Ablauf, Zahlung, Bedingungsänderungen) | E-Mail, App-Mitteilungen | Vertragserfüllung |
| Nachrichten und Angebote zum Dienst (nur wenn der Versand aktiviert wird) | Gesonderte Einwilligung (Abs. 1 Teil 1); jederzeit widerrufbar | |
| Erfüllung rechtmäßiger Anfragen staatlicher Stellen | Im Umfang der Anfrage | Gesetzliche Pflicht |
6. Cookies und lokale Daten
6.1. Für die Anmeldung werden technische Sitzungscookies und Cookies zum Schutz vor gefälschten Anfragen verwendet. Ausgewählte Sprache und Darstellung können lokal im Browser gespeichert werden. Diese Einstellungen bilden kein Werbeprofil.
6.2. Die App speichert Einstellungen, Anmeldedaten und Verbindungsschlüssel auf dem Gerät. Wird die App oder werden ihre Daten gelöscht, werden diese Daten vom Gerät entfernt.
7. Weitergabe an Dritte
7.1. Daten werden nur in dem Umfang weitergegeben, der für den Betrieb des Dienstes erforderlich ist:
- an den Zahlungsdienst: Bestellnummer, Betrag und E-Mail-Adresse für den Beleg;
- an den Föderalen Steuerdienst Russlands über die App „Moy nalog“: für den Beleg erforderliche Angaben zur Abrechnung;
- an den E-Mail-Zustelldienst: Adresse und Inhalt der Dienstmitteilung;
- an Serveranbieter: Daten, die auf deren Systemen gespeichert und übertragen werden;
- an einen externen Anmeldedienst: nur wenn die betreffende Methode tatsächlich verfügbar ist und vom Nutzer ausgewählt wird; konkrete Anbieter müssen vor der Veröffentlichung geprüft werden;
- an staatliche Stellen: nur aufgrund einer rechtmäßigen Anfrage und in deren Umfang.
7.2. Die Server des Dienstes, einschließlich des Servers des Kontobereichs mit Kontodaten, befinden sich in Japan; einzelne betriebliche Systeme befinden sich in Russland. Der Verantwortliche plant, die Speicherung von Kontodaten nach Russland zu verlagern; über eine Änderung wird eine neue Fassung der Richtlinie veröffentlicht.
8. Speicherdauer
| Daten | Frist |
|---|---|
| Konto- und Gerätedaten | Die ursprüngliche Fassung sieht die Speicherung bis zum Bestehen des Kontos sowie die Löschung oder Anonymisierung innerhalb von 30 Tagen nach dessen Löschung vor. Die technische Umsetzung dieser Frist für alle verknüpften Datensätze und Kopien ist nicht bestätigt und muss vor der Veröffentlichung geprüft werden |
| Technische Verbindungsdaten und Website-Protokolle | Für einen geprüften Teil der Server- und Website-Betriebsprotokolle sind 14 Tage konfiguriert. Dies ist eine Konfiguration und keine nachgewiesene Grenze für alle Protokolle. Verbindungsaufzeichnungen, abgeschlossene Sitzungen und der letzte Handshake können länger gespeichert werden; eine allgemeine Höchstfrist ist nicht bestätigt |
| Diagnosedaten | Ein täglicher Task löscht Verbindungsversuche, die vor mehr als 30 Tagen aktualisiert wurden, und ersetzt den Inhalt von Diagnoseberichten, die älter als 30 Tage sind. Es werden damit nicht alle Berichte, Ereignisse und sonstigen Daten gelöscht; die Bereinigung erfolgt nicht sofort, und bei der Prüfung wurden Daten gefunden, die älter als die Schwelle waren |
| Datenbanksicherungen | Ein Teil der Daten ist in Sicherungskopien enthalten. Diese bewahren den Verlauf unabhängig von der Bereinigung der Arbeitsdatenbank. Eine allgemeine Höchstfrist für alle lokalen und separaten Kopien ist nicht bestätigt |
| Abrechnungs- und Belegdaten | 5 Jahre für Steuerbuchhaltung und mögliche Streitigkeiten |
| Support-Korrespondenz | Die ursprüngliche Fassung sieht 1 Jahr ab der letzten Nachricht vor; die technische Umsetzung muss vor der Veröffentlichung gesondert geprüft werden |
| Einwilligung zu Nachrichten | Bis zum Widerruf, sofern der Versand aktiviert ist und eine gesonderte Einwilligung vorliegt |
9. Datensicherheit
9.1. Der Schutz der Daten ist durch rechtliche, organisatorische und technische Maßnahmen vorgesehen (Artikel 19 des Gesetzes 152-FZ). Geprüft wurden HTTPS für die Kontowebsite, sichere Passwortspeicherung, Zugriffsbeschränkungen und vorhandene Sicherungskopien. Eine Zwei-Faktor-Absicherung der administrativen Anmeldung und ein Protokoll der Administratoraktionen wurden durch diese Prüfung nicht bestätigt und werden nicht als umgesetzt dargestellt. Auch die Verschlüsselung aller Sicherungskopien und die Vollständigkeit eines aktuellen Wiederherstellungssatzes sind nicht bestätigt.
9.2. Bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Verantwortliche Roskomnadzor innerhalb von 24 Stunden und meldet die Ergebnisse der Untersuchung innerhalb von 72 Stunden (Teil 3.1 von Artikel 21 des Gesetzes 152-FZ) sowie die betroffenen Nutzer.
10. Rechte des Nutzers
10.1. Der Nutzer ist berechtigt:
- Auskunft über die Verarbeitung seiner Daten und eine Kopie davon zu erhalten;
- die Berichtigung, Sperrung oder Löschung von Daten zu verlangen, wenn sie unvollständig, veraltet, unrichtig oder rechtswidrig verarbeitet sind;
- sein Konto zu löschen;
- eine Einwilligung zu widerrufen, wenn sie die Rechtsgrundlage der Verarbeitung ist;
- Nachrichten-E-Mails über den Link in der E-Mail oder in den Einstellungen abzubestellen;
- sich bei Roskomnadzor oder einem Gericht über Handlungen des Verantwortlichen zu beschweren.
10.2. Der Verantwortliche beantwortet eine Anfrage innerhalb von 10 Arbeitstagen ab ihrem Eingang (Artikel 20 des Gesetzes 152-FZ). Die Frist kann mit Begründung um höchstens 5 Arbeitstage verlängert werden.
10.3. Zum Schutz des Kontos kann der Verantwortliche um eine Bestätigung bitten, dass die Anfrage vom Kontoinhaber stammt, zum Beispiel durch eine E-Mail von der Konto-Adresse.
10.4. Der Widerruf einer Einwilligung oder die Löschung von Daten, die für die Leistung erforderlich sind, führt zum Ende des Zugangs. Daten, die gesetzlich aufbewahrt werden müssen, bleiben für die in Abschnitt 8 angegebene Dauer gespeichert.
11. Nutzer aus anderen Ländern
11.1. Wenn für den Nutzer Datenschutzgesetze seines Wohnsitzlandes gelten (zum Beispiel die Datenschutz-Grundverordnung der EU), stehen ihm auch die dort vorgesehenen Rechte zu: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch gegen die Verarbeitung. Anfragen sind an abvpc@mail.ru zu richten.
11.2. Bei der Nutzung des Dienstes nimmt der Nutzer zur Kenntnis, dass seine Daten gemäß dieser Richtlinie auf Servern in Japan und Russland verarbeitet werden.
12. Einwilligung und Minderjährige
12.1. Mit der Registrierung bestätigt der Nutzer, dass er diese Richtlinie zur Kenntnis genommen hat. Die Einwilligung zu Nachrichten-E-Mails wird gesondert erteilt und ist keine Voraussetzung für die Nutzung des Dienstes.
12.2. Personen unter 14 Jahren dürfen sich nicht registrieren. Erfährt der Verantwortliche von einem solchen Konto, wird es gelöscht.
13. Änderung der Richtlinie
13.1. Eine neue Fassung wird mit Datum auf der Seite /privacy/ veröffentlicht. Über wesentliche Änderungen informiert der Verantwortliche in der App, im Kontobereich oder per E-Mail; wenn eine neue Einwilligung erforderlich ist, wird sie gesondert eingeholt.