Política de tratamiento de datos personales
Política de tratamiento de datos personales de ZARDO VPN
Política de tratamiento de datos personales de ZARDO VPN
La Política se ha elaborado conforme a la Ley Federal n.º 152-FZ, de 27.07.2006, «Sobre datos personales», y se aplica a zardovpn.com, el área de cuenta y las aplicaciones de ZARDO VPN.
1. Responsable
1.1. Responsable del tratamiento de datos personales: Alexey Vasilyevich Burkovsky, contribuyente del impuesto sobre ingresos profesionales, número de identificación fiscal 250214498711 (en adelante, el «Responsable»).
1.2. Dirección para consultas sobre datos personales: abvpc@mail.ru.
2. Principios generales
2.1. El Responsable recopila únicamente los datos necesarios para prestar el servicio, aceptar pagos, cumplir obligaciones legales y proteger el Servicio contra abusos.
2.2. Los datos se tratan lícitamente, para fines determinados de antemano y durante el tiempo que dichos fines lo requieran.
2.3. El Responsable no vende datos personales ni los cede con fines publicitarios.
2.4. El Responsable no trata categorías especiales de datos personales (sobre salud, creencias, nacionalidad, etc.) ni datos biométricos.
3. Datos tratados
| Categoría | Datos incluidos | Procedencia |
|---|---|---|
| Datos de la cuenta | Dirección de correo electrónico y contraseña protegida (con hash). La composición de los datos de inicio de sesión externo y la disponibilidad de proveedores concretos requieren una comprobación aparte; esta Política no afirma que estén activos. No se solicitan nombre, teléfono ni domicilio para registrarse | Del Usuario |
| Dispositivos y acceso | Número interno del dispositivo en el Servicio, nombre del dispositivo (si lo asignó el Usuario), plataforma y versión de la aplicación, clave de conexión, fecha de la última conexión, plazo y estado del Acceso | Automáticamente durante el uso |
| Datos técnicos del sitio web | Registros operativos: hora, categoría de solicitud, método, estado y duración del procesamiento. El access-log VPN seguro comprobado no registra la dirección IP, la URL completa, los parámetros de consulta, las cookies ni el User-Agent; los registros de errores pueden contener direcciones. Cookies técnicas | Automáticamente al acceder al sitio web |
| Transacciones | Número del pedido, importe, moneda, método y estado del pago, identificador del pago y datos del recibo | Del Usuario y del servicio de pago |
| Consultas | Correspondencia enviada por el Usuario y materiales de diagnóstico. El Servicio también conserva eventos técnicos, intentos de conexión y registros de diagnóstico generados durante su funcionamiento | Del Usuario y automáticamente durante el funcionamiento |
| Programa de referidos | Aún no se ha puesto en marcha; esta Política no describe relaciones de referidos como una recopilación de datos activa | — |
De las conexiones solo se conservan datos técnicos: hora y estado de la conexión, hora del último intercambio de datos, duración y contadores del volumen transferido, vinculados a la Cuenta y al dispositivo. Se necesitan para aplicar el límite de dispositivos, proporcionar el Acceso y detectar errores de conexión. Esta no es una política de registro cero: se conservan registros de dispositivos y conexiones, la hora del último intercambio (handshake), datos de diagnóstico y registros operativos. Parte de esos registros se incluye en copias de seguridad.
4. Lo que no hace el Responsable
4.1. El Responsable no solicita ni almacena el número completo de la tarjeta bancaria, su fecha de caducidad ni el código de seguridad; esos datos los trata el servicio de pago.
4.2. Los registros operativos y datos de conexión comprobados se describen en la sección 3; los plazos y límites de eliminación figuran en la sección 8. La existencia de registros técnicos significa que no se trata de una política de registro cero.
4.3. La Política establece que no se utilicen contadores publicitarios ni de analítica de terceros en las aplicaciones y el área de cuenta. Antes de publicar, debe comprobarse por separado su cumplimiento en todas las interfaces.
4.4. El Responsable no toma decisiones con consecuencias jurídicas para el Usuario basándose exclusivamente en un tratamiento automatizado. Si se bloquea automáticamente una cuenta por indicios de ataque o abuso, una persona revisará el caso cuando el Usuario lo solicite.
5. Finalidades y bases jurídicas
| Finalidad | Datos | Base (artículo 6 de la Ley 152-FZ) |
|---|---|---|
| Registro, inicio de sesión, provisión del Acceso y gestión de dispositivos | Cuenta, dispositivos, datos técnicos | Ejecución del contrato (apartado 5 de la parte 1) |
| Cobro de pagos, reembolsos y recibos | Transacciones, correo electrónico | Ejecución del contrato; obligaciones legales relativas al impuesto sobre ingresos profesionales (apartado 2 de la parte 1) |
| Soporte y respuesta a consultas | Consultas, datos de contacto | Ejecución del contrato |
| Investigación de errores y mejora de la estabilidad | Datos técnicos, informes de diagnóstico | Ejecución del contrato; interés legítimo del Responsable (apartado 7 de la parte 1) |
| Protección contra ataques, fraude y repetición de periodos de prueba | Datos técnicos, dispositivos | Interés legítimo del Responsable |
| Avisos del Servicio (vencimiento, pago, cambios de condiciones) | Correo electrónico, avisos en la aplicación | Ejecución del contrato |
| Noticias y ofertas del Servicio (solo si se activa el envío) | Correo electrónico | Consentimiento específico (apartado 1 de la parte 1); puede retirarse en cualquier momento |
| Cumplimiento de solicitudes legítimas de organismos públicos | En el alcance de la solicitud | Obligación legal |
6. Cookies y datos locales
6.1. Para iniciar sesión se utilizan cookies técnicas de sesión y de protección contra la falsificación de solicitudes. El idioma y el tema elegidos pueden guardarse localmente en el navegador. Estos ajustes no constituyen un perfil publicitario.
6.2. La aplicación guarda en el dispositivo los ajustes, los datos de inicio de sesión y las claves de conexión. Al eliminar la aplicación o sus datos, estos se borran del dispositivo.
7. Comunicación a terceros
7.1. Los datos solo se comunican en la medida necesaria para el funcionamiento del Servicio:
- al servicio de pago: número e importe del pedido y dirección de correo para el recibo;
- al Servicio Federal de Impuestos de Rusia mediante la aplicación «Moy nalog»: datos de la transacción necesarios para emitir el recibo;
- al servicio de envío de correo electrónico: dirección y contenido del mensaje del Servicio;
- a proveedores de servidores: datos almacenados y transmitidos en sus equipos;
- a un servicio externo de inicio de sesión: solo si el método correspondiente está realmente disponible y el Usuario lo elige; los proveedores concretos deben verificarse antes de publicar;
- a organismos públicos: únicamente ante una solicitud legítima y dentro de su alcance.
7.2. Los servidores del Servicio, incluido el servidor del área de cuenta que contiene datos de cuentas, están ubicados en Japón; algunos sistemas internos de operación están en Rusia. El Responsable prevé trasladar a Rusia el almacenamiento de los datos de las cuentas; cualquier cambio se comunicará en una nueva versión de la Política.
8. Plazos de conservación
| Datos | Plazo |
|---|---|
| Datos de cuenta y dispositivos | La versión original prevé conservarlos mientras exista la Cuenta y eliminarlos o anonimizarlos en los 30 días siguientes a su eliminación. No se ha confirmado la aplicación técnica de este plazo a todos los registros y copias vinculados; debe comprobarse antes de publicar |
| Datos técnicos de conexiones y registros del sitio web | Para una parte comprobada de los registros operativos del servidor y del sitio web está configurado un plazo de 14 días. Es una configuración, no un límite demostrado para todos los registros. Los registros de conexión, las sesiones finalizadas y el último handshake pueden conservarse durante más tiempo; no se ha confirmado un plazo máximo general |
| Materiales de diagnóstico | Una tarea diaria elimina los intentos de conexión actualizados hace más de 30 días y sustituye el contenido de los informes de diagnóstico con más de 30 días. Esto no elimina todos los registros de informes, eventos y otros materiales; la limpieza no es inmediata y se encontraron materiales anteriores al umbral |
| Copias de seguridad de la base de datos | Parte de los datos se incluye en copias de seguridad. Estas conservan el historial independientemente de la limpieza de la base de trabajo. No se ha confirmado un plazo máximo general para todas las copias locales y separadas |
| Datos de transacciones y recibos | 5 años para la contabilidad fiscal y posibles disputas |
| Correspondencia con soporte | La versión original prevé 1 año desde el último mensaje; la aplicación técnica debe comprobarse por separado antes de publicar |
| Consentimiento para noticias | Hasta que se retire, si se activa el envío y existe consentimiento específico |
9. Seguridad de los datos
9.1. La protección de los datos se contempla mediante medidas jurídicas, organizativas y técnicas (artículo 19 de la Ley 152-FZ). Se comprobaron HTTPS para el sitio de la cuenta, el almacenamiento protegido de contraseñas, las restricciones de acceso y la existencia de copias de seguridad. Esta comprobación no confirmó la protección en dos factores del inicio de sesión administrativo ni el registro de las acciones de los administradores, por lo que no se presentan como medidas implantadas. Tampoco se han confirmado el cifrado de todas las copias de seguridad ni la integridad de un conjunto actualizado de recuperación.
9.2. En caso de filtración de datos personales, el Responsable notifica a Roskomnadzor en un plazo de 24 horas e informa de los resultados de la investigación en un plazo de 72 horas (parte 3.1 del artículo 21 de la Ley 152-FZ), además de avisar a los Usuarios afectados.
10. Derechos del Usuario
10.1. El Usuario tiene derecho a:
- obtener información sobre el tratamiento de sus datos y una copia de estos;
- solicitar la rectificación, el bloqueo o la supresión de datos si están incompletos, desactualizados, son inexactos o se tratan ilícitamente;
- eliminar la Cuenta;
- retirar el consentimiento cuando sea la base del tratamiento;
- dejar de recibir correos de noticias mediante el enlace del mensaje o en los ajustes;
- presentar una reclamación contra las actuaciones del Responsable ante Roskomnadzor o ante un tribunal.
10.2. El Responsable responde a la solicitud en un plazo de 10 días laborables desde su recepción (artículo 20 de la Ley 152-FZ). El plazo puede ampliarse hasta 5 días laborables, explicando el motivo.
10.3. Para proteger la Cuenta, el Responsable puede pedir que se confirme que la solicitud procede de su titular, por ejemplo, mediante un correo enviado desde la dirección de la Cuenta.
10.4. Retirar el consentimiento o eliminar datos necesarios para prestar el servicio implica que finalice el Acceso. Los datos que la ley obligue a conservar se mantienen durante el plazo indicado en la sección 8.
11. Usuarios de otros países
11.1. Si al Usuario le son aplicables las leyes de protección de datos de su país de residencia (por ejemplo, el Reglamento General de Protección de Datos de la UE), también puede ejercer los derechos que estas reconocen: acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y oposición al tratamiento. Las solicitudes se envían a abvpc@mail.ru.
11.2. Al utilizar el Servicio, el Usuario entiende que sus datos se tratan en servidores ubicados en Japón y Rusia conforme a esta Política.
12. Consentimiento y menores de edad
12.1. Al registrarse, el Usuario confirma que ha leído esta Política. El consentimiento para recibir correos de noticias se otorga por separado y no es condición para utilizar el Servicio.
12.2. Las personas menores de 14 años no deben registrarse. Si el Responsable tiene conocimiento de una Cuenta de este tipo, la eliminará.
13. Modificación de la Política
13.1. Se publica una nueva versión, con su fecha, en la página /privacy/. El Responsable informa de los cambios sustanciales en la aplicación, el área de cuenta o por correo electrónico; si se necesita un nuevo consentimiento, lo solicita por separado.