Конфіденційність і дані

Платформу забезпечує ФОП Корнієнко Олександр Віталійович під назвою IquraPhotos. З будь-яких питань щодо ваших персональних даних пишіть на [email protected]. Ми відповідаємо на них самі.

• Організатор заходу є володільцем персональних даних: він публікує фотографії, налаштовує захід і отримує вашу згоду на пошук за обличчям.
• IquraPhotos є розпорядником персональних даних: ми виконуємо виявлення та порівняння облич за задокументованими дорученнями організатора, і нічого більше.
• Щодо роботи вебсайту, журналювання безпеки та спілкування з організаторами ми діємо як самостійний володілець.

IquraPhotos створено для українського ринку і надається виключно в Україні: організаторам, що перебувають в Україні, для заходів в Україні, для учасників, які під час користування перебувають в Україні.

• Ми не пропонуємо, не рекламуємо і не спрямовуємо Сервіс до осіб за межами України та не приймаємо організаторів, чиї заходи відбуваються поза Україною.
• Кожен організатор у договорі з нами зобов'язується, що захід проводиться в Україні і що він не надаватиме пошук за обличчям учасникам в іншій країні.
• Якщо ви перебуваєте за межами України, будь ласка, не користуйтеся пошуком за обличчям. Переглядати галерею ви зможете, якщо організатор зробив її публічною.

Це свідоме обмеження. Пошук за обличчям обробляє біометричні дані, і ми радше робитимемо це як слід у межах одного правопорядку, ніж розпорошуватимемося на кілька. Якщо ми колись поширимо Сервіс на іншу країну, ми спершу опублікуємо умови, які там діятимуть.

• Ваше селфі (біометричні, лише закриті заходи): одне селфі, зроблене камерою, на пошук; завантажити фото не можна. Воно надсилається нашому постачальнику біометричного пошуку, спеціалізованому сторонньому сервісу розпізнавання облич, у складі пошукового запиту, порівнюється з проіндексованими обличчями заходу і видаляється. Ні наші сервери, ні постачальник його не зберігають. Ваш браузер тримає копію останнього пошуку лише на вашому пристрої, доки ви не очистите дані сайту.
• Шаблони облич на фото заходу (біометричні, лише закриті заходи): біометричний ідентифікатор, який наш постачальник обчислює для кожного виявленого обличчя і зберігає в колекції, ізольованій для цього заходу. Ми не зберігаємо його копії: наша база даних містить лише рамку, показник впевненості та внутрішнє посилання. Шаблон неможливо перетворити назад на фотографію, і постачальник не використовує ні його, ні зображення, з яких він отриманий, для навчання власних моделей.
• Фото заходу: завантажені та належні організатору. На закритому заході їх надсилають постачальнику для виявлення облич протягом кількох секунд після завантаження. На заході без біометрії облич не аналізують, і нічого не надсилається нашому постачальнику. Точний дублікат розпізнається за хешем файлу і не обробляється вдруге. Ми також зберігаємо перцептивний хеш, час зйомки та серійний номер камери з EXIF фото, лише щоб групувати схожі кадри. Фотографи, які завантажують, є суб'єктами цих даних.
• Метадані виразу обличчя (не біометричні): для кожного виявленого обличчя постачальник також повертає те, як воно виглядає саме на цьому знімку: позначку на кшталт «щасливе» чи «спокійне» з показником впевненості, чи виглядає обличчя усміхненим, чи виглядають очі відкритими, та два показники якості зображення. Ми зберігаємо це як звичайні метадані. Вони нікого не ідентифікують і не вирізняють. Вони використовуються для фільтра за виразом обличчя у ваших власних результатах пошуку та для анонімних підсумків по заходу, наприклад скільки облич виглядають щасливими, у статистиці організатора. Вони видаляються разом із записом обличчя, якого стосуються.
• Технічні дані: мінімальні журнали запитів і безпеки (часові мітки, IP-адреса, помилки) без біометричного вмісту.
• Статистика використання: лише підрахунки на захід (пошуки, відвідування сторінок, завантаження) та приблизна кількість унікальних відвідувачів на день, обчислена з добового хешу з ключем від вашої IP-адреси та браузера, який неможливо повернути назад.
• Ідентифікатор ліміту пошуку: випадковий cookie і, до 12 годин, список фото, знайдених вашим останнім пошуком. Див. «Cookies і сховище браузера».

Ми не запитуємо ваше ім'я, електронну пошту чи обліковий запис і ніколи не пов'язуємо шаблон обличчя з вашою особою. Єдиний ідентифікатор це випадковий cookie ліміту пошуку, описаний нижче.

Шаблони облич і селфі, використане для пошуку за ними, є біометричними даними. Стаття 7 Закону України «Про захист персональних даних» за загальним правилом забороняє їх обробку і допускає її лише на підставах, перелічених у цій статті.

Підстава, на яку спираємося ми, це ваша однозначна згода за пунктом 1 частини другої статті 7. На закритому заході організатор просить про неї під час реєстрації, до завантаження фото, бо шаблони облич на фото створюються невдовзі після завантаження, ще до будь-якого пошуку. Перед пошуком сторінка заходу просить ще раз: кнопки пошуку заблоковані, доки ви не встановите позначку, а наш сервер відхиляє пошук без цього підтвердження. Він записує кожне підтвердження (захід, час і версію умов) без персональних даних. Той, хто не погодився, може прибрати своє обличчя з пошуку через «Не індексувати мене», навіть до заходу. Ви можете відкликати згоду будь-коли.

Платформа не записує і не перевіряє згоду людей, зображених на фото. На закритому заході вона створює шаблон обличчя для кожного обличчя на кожному завантаженому фото, а відмова прибирає обличчя пізніше. Отримати згоду цих людей має організатор.

Саме організатор як володілець відповідає за отримання цієї згоди та за здатність її підтвердити. Обробка біометричних даних також становить особливий ризик у розумінні статті 9, тому, якщо цей обов'язок застосовується, саме організатор повідомляє про неї Уповноваженого Верховної Ради України з прав людини. Ми закріплюємо це в договорі з кожним організатором.

Кожен захід має один із двох типів, який організатор обирає під час створення. На закритому заході учасники погоджуються на пошук за обличчям під час реєстрації, зазвичай галочкою. На заході без біометрії облич не аналізують зовсім: пошуку за обличчям немає, зберігаються лише фотографії.

Щодо нечутливих операційних даних ми спираємося на законний інтерес у роботі та захисті сервісу (пункт 6 частини першої статті 11), а щодо облікових записів організаторів ми спираємося на договір з організатором (пункт 3 частини першої статті 11).

• Ви ставите позначку згоди в галереї заходу. Без неї сервер відхиляє пошук.
• Ваше селфі надсилається нашому постачальнику біометричного пошуку у складі запиту; ми його не зберігаємо, і постачальник не додає його до своєї колекції.
• Постачальник порівнює його з проіндексованими шаблонами облич заходу і повертає найближчі збіги.
• Ми показуємо вам відповідні фото. Ваше селфі зберігається лише в пам'яті, поки триває пошук (не довше п'яти хвилин, якщо черга завантажена), і потім видаляється. До 12 годин наш сервер зберігає список знайдених фото, щоб повторний пошук міг показати його знову.

Відповідно до статті 8 Закону України «Про захист персональних даних» ви можете заперечити проти обробки та відкликати згоду, а на цій підставі вимагати видалення своїх даних. Ви можете зробити це самі й одразу, без звернення до організатора: відкрийте захід і натисніть «Не індексувати мене».

Це працює на закритих заходах, зокрема до початку заходу. На заході без біометрії прибирати нічого, щоб видалити фото, зверніться до організатора.

• Поставте позначку згоди. Шаблон обличчя з вашого живого селфі використовується лише для того, щоб знаходити й прибирати ваше обличчя з пошуку цього заходу.
• Подивіться прямо в камеру, потім поверніть голову ліворуч і праворуч. Три кадри робляться автоматично; завантажити фото не можна. Сервер перевіряє, що на кожному кадрі рівно одне обличчя, що голова справді повертається і що всі три кадри з однією людиною.
• Кадри потрібні лише для цієї перевірки і ніде не зберігаються: ні на наших серверах, ні в об'єктному сховищі.

Видаляється: кожне обличчя на фото заходу, схоже на ваше на 99% і більше, тобто його шаблон у колекції постачальника, ідентифікатор, що робив вас доступним для пошуку, і запис метаданих обличчя в нашій базі даних. Це збіг у міру можливого: обличчя, що виглядає менш схожим, наприклад під іншим кутом, може залишитися. Фото, завантажені пізніше, перевіряються так само, коли завершується обробка їхньої партії, доки зберігається ваш шаблон виключення. До цього моменту таке фото може ненадовго бути доступним для пошуку.

Залишається: вихідні фотографії, які належать організатору (щоб прибрати фото, зверніться до нього) і на яких усі інші люди знаходять себе як раніше; ваш шаблон виключення, який потрібен лише для того, щоб не знаходити вас на пізніших фото, і видаляється разом із заходом, не пізніше завершення строку зберігання даних облич; небіометричний запис-маркер (лише ім'я файлу та рамка), який не дає повторно проіндексувати ваше обличчя; і запис про факт відмови, без біометричного вмісту.

Щоб запобігти зловживанням, з однієї IP-адреси можна надіслати не більше трьох запитів на добу. Якщо це вам заважає, напишіть на [email protected], і ми самі приберемо ваше обличчя. Наприкінці ви бачите лише кількість фото, з яких прибрано ваше власне обличчя.

Фото заходу зберігаються в об'єктному сховищі Cloudflare R2 в регіоні ЄС і доставляються глядачам через публічну мережу доставки вмісту за адресами, які неможливо вгадати. Виявлення та розпізнавання облич виконує сервіс нашого постачальника біометричного пошуку в Ірландії. Застосунок працює на серверах у Європейському економічному просторі. Вебшрифти віддаються з наших власних серверів, тому жоден постачальник шрифтів не отримує ваших даних.

Це транскордонна передача, і її регулює стаття 29 Закону України № 2297-VI: персональні дані можуть передаватися іноземному отримувачу лише за умови забезпечення відповідною державою належного захисту. Ця стаття визнає такими держави, члени Європейського економічного простору, та держави, які підписали Конвенцію Ради Європи ETS № 108. Фото та дані облич залишаються в Європейському економічному просторі. Два технічні сервіси компаній зі США також можуть бачити обмежені технічні дані, як-от вашу IP-адресу: перевірка від ботів (Cloudflare Turnstile) під час пошуку чи відмови і моніторинг помилок (Sentry, дані в ЄС), який отримує технічні звіти про помилки без зображень та імен. Стаття 29 також визнає такими, що забезпечують належний захист, держави, чиї регулятори ринків капіталу підписали Багатосторонній меморандум IOSCO, і США серед них. Україна сама є стороною Конвенції 108, саме тому ця Політика здасться знайомою кожному, хто звик до європейських документів про захист даних.

Розміщення за кордоном не змінює того, кому пропонується Сервіс. Він надається виключно в Україні.

Щоб організатори бачили, як використовується їхня галерея, ми записуємо анонімні сукупні підрахунки на захід у розбивці по днях: пошуки, відвідування цільової сторінки та завантаження фото.

Для приблизного підрахунку унікальних відвідувачів без вашої ідентифікації сервер обчислює односпрямований хеш з вашої IP-адреси та User-Agent у поєднанні з поточним днем. День є частиною хешу, тому він змінюється кожні 24 години і не дозволяє відстежувати вас із часом; вихідні значення ніколи не зберігаються, а хеш не можна повернути назад. Лічильники завантажень є лише підсумками на фото, ніколи не пов'язаними з тим, хто завантажив.

Статистика відвідувачів не встановлює cookies і не використовує ідентифікатор, що діє довше за одну добу. Зв'язку з вашим селфі або біометричними даними немає, ці дані не продаються і не використовуються для реклами. Правова підстава: законний інтерес наш та організатора у вимірюванні сервісу (пункт 6 частини першої статті 11); оскільки ця статистика не використовує cookies і є сукупною, ми не просимо для неї згоди.

Ми встановлюємо один технічний cookie, pf_vid. Він містить випадковий ідентифікатор, діє 30 днів і потрібен лише для підрахунку денного ліміту пошуків. Він не пов'язаний з вашим ім'ям чи обличчям. До 12 годин наш сервер зберігає список фото, знайдених вашим останнім пошуком, прив'язаний до цього ідентифікатора, щоб повторний або невдалий пошук міг показати його знову.

Ваш браузер також зберігає лише на вашому пристрої вибір мови, збережені фото та копію останнього пошуку, доки ви не очистите дані сайту. Наші сервери ніколи не зберігають ваше селфі.

Ми свідомо є короткостроковим сховищем. IquraPhotos є інструментом пошуку на кілька тижнів навколо заходу, а не фотоархівом: оригінали зберігає організатор, а вам варто завантажити все потрібне одразу, щойно ви це знайшли.

• Селфі / фото запиту та його відбиток: зберігаються лише в пам'яті, поки триває пошук (не довше п'яти хвилин, якщо черга завантажена), потім видаляються. На наших серверах не зберігаються.
• Список результатів пошуку (лише посилання на фото, без зображень): 30 хвилин для ідентичного повторного пошуку і до 12 годин, прив'язано до cookie pf_vid.
• Шаблони облич на фото заходу: видаляються через тридцять (30) днів після створення або після завершення заходу, якщо ця дата пізніша. На прохання організатора ми можемо встановити для заходу іншу дату, раніше або пізніше, до 365 днів наперед. Сторінка заходу показує дату, до якої пошук за обличчям залишається доступним. Після цього пошук за обличчям більше нікого не знаходить у цьому заході.
• Метадані виразу обличчя: стираються тим самим процесом і в той самий строк. Вони ніколи не існують довше за запис обличчя, якого стосуються.
• Фото заходу: видаляються через дев'яносто (90) днів після завантаження або після завершення заходу, якщо ця дата пізніша, разом з вебкопіями, якщо організатор не видалить їх раніше або не попросить зберігати довше, до 365 днів.
• Підтвердження згоди (захід, час, версія умов, без персональних даних): зберігаються стільки ж, скільки фото заходу, і видаляються разом із заходом.
• Технічні журнали та журнали безпеки: журнали запитів зберігаються протягом короткого ковзного періоду. Захист від зловживань зберігає добовий хеш вашої IP-адреси 30 днів і короткі лічильники до 24 годин.
• Анонімна аналітика: сукупні лічильники можуть зберігатися для звітності про тенденції; денні хеші відвідувачів видаляються протягом дев'яноста (90) днів.
• Резервні копії бази даних, якщо вони робляться, зберігаються не довше тридцяти (30) днів.
• Облікові записи організаторів: організатор може будь-коли видалити свій акаунт у консолі. Його заходи, фото, шаблони облич, спонсори та користувачі видаляються одразу, а з резервних копій зникають протягом тридцяти (30) днів. Ми зберігаємо один запис про закриття (назву організації, імена та email її користувачів, її заходи, а також хто і коли видалив акаунт) разом із журналом обробки та підписаними договорами протягом трьох (3) років, загального строку позовної давності за статтею 257 Цивільного кодексу України, щоб відповідати на законні запити органів влади України та захищатися від позовів. Він не містить фото й біометричних даних і автоматично видаляється, щойно мине три роки.

Ці видалення відбуваються автоматично: запланована задача виконується щодня, тож нічого не залежить від того, чи хтось про це згадає.

Ви можете шукати анонімно, переглядати галерею без пошуку або взагалі не користуватися пошуком за обличчям.

Стаття 8 Закону України «Про захист персональних даних» надає вам право знати, які дані про вас зберігаються та звідки вони, отримувати до них доступ, вимагати їх зміни або знищення, заперечувати проти обробки, відкликати згоду і бути захищеним від незаконної обробки. Запит розглядається протягом тридцяти (30) календарних днів.

Чекати цей строк для видалення не потрібно: описаний вище механізм самостійного видалення прибирає ваші шаблони облич одразу.

Ваше зображення захищене окремо від ваших даних. За статтею 307 Цивільного кодексу України згода на знімання презюмується, якщо зйомка проводиться відкрито на конференції чи іншому заході публічного характеру, але ця презумпція стосується лише самої фотографії, а не її біометричної обробки, яка все одно потребує окремої згоди. За статтею 308 фотографія, на якій вас зображено, за загальним правилом може бути публічно показана лише за вашою згодою. Ці права реалізуються стосовно того, хто публікує фотографію, тобто організатора, а не нас.

Оскільки володільцем даних є організатор, спочатку адресуйте запити щодо заходу йому; ми допоможемо їх виконати. Якщо результат вас не задовольнить, ви можете звернутися до Уповноваженого Верховної Ради України з прав людини, який контролює захист персональних даних в Україні, або до суду. Ви також завжди можете написати нам на [email protected].

Резервні копії бази даних, якщо вони робляться, зберігаються для аварійного відновлення, максимум 30 днів, з тими самими засобами контролю доступу, що й жива база.

Резервна копія, зроблена до вашого видалення, все ще міститиме запис метаданих обличчя (рамку, показник впевненості), але ніколи сам шаблон обличчя, який існує лише в колекції постачальника. Якщо копію коли-небудь відновлять, ми зобов'язані повторно застосувати всі маркери видалення до того, як вона почне обслуговувати трафік: задокументована процедура видаляє відновлений шаблон у постачальника і прибирає запис метаданих. У будь-якому разі резервні копії втрачають чинність протягом 30 днів.

Стаття 24 Закону України № 2297-VI зобов'язує нас захищати персональні дані від незаконної обробки та випадкової втрати. На практиці:

• Шифрування при передачі (HTTPS / TLS).
• Шаблони облич існують лише в захищеній колекції нашого постачальника для кожного заходу, під його сертифікаціями безпеки, і ніколи в нашій базі даних, де зберігаються лише небіометричні метадані. Шаблони не можна перетворити назад на зображення.
• Хеш SHA-256 кожного фото дозволяє пропустити біометричну обробку точного дубліката.
• Доступ за принципом найменших привілеїв, персонально закріплені облікові записи та сувора ізоляція даних одного організатора від даних іншого.
• Організатори керують фото через свою CRM, але ніколи не мають доступу до шаблонів облич.
• Резервні копії бази даних, якщо вони робляться, зберігаються максимум 30 днів; видалені дані повторно видаляються до запуску будь-якої відновленої копії.

Організатор налаштовує кожен захід: чи увімкнено пошук за селфі; чи захід публічний, приватний або закритий; і може відображати спонсорів відповідно до свого договору. Спонсори з'являються лише як бренд: ми не передаємо їм, як і будь-кому іншому, ваших біометричних даних чи селфі з маркетинговою метою.

Ми залучаємо суброзпорядників виключно для роботи сервісу: хостинг та об'єктне сховище в Європейському економічному просторі, спеціалізований сторонній сервіс біометричного пошуку, перевірка від ботів і моніторинг помилок (див. «Де обробляються та зберігаються дані»). Ми ніколи не продаємо персональні дані та не використовуємо їх для реклами, а до свого облікового запису застосували політику відмови (opt-out) сервісів штучного інтелекту постачальника, тож і він не може навчатися на фото, селфі чи шаблонах, що проходять через нього.

Ми називаємо цього постачальника в договорі з кожним організатором і ідентифікуємо його для вас на запит. Напишіть на [email protected].

Пошук за обличчям призначений для осіб віком від 16 років. Якщо вам немає 16, будь ласка, не користуйтеся ним. Фотографії осіб до 16 років можна завантажувати лише якщо організатор до завантаження має згоду їхніх батьків або опікунів за Цивільним кодексом України. Інакше організатор не допускає їх до завантаження. Особи віком 16 і 17 років дають згоду самі. Батьки чи опікуни можуть скористатися «Не індексувати мене» для дитини або написати на [email protected].

IquraPhotos є невеликим незалежним сервісом. Ми можемо вирішити закрити його назавжди, якщо він виявиться комерційно нежиттєздатним або з будь-якої іншої причини. Тоді пошук за обличчям припинить працювати, а галереї стануть недоступними.

• Усе видаляється. Фото, шаблони облич, метадані, журнали та облікові записи організаторів стираються під час закриття. Ніщо не залишається тихо працювати у фоновому режимі.
• Ніщо не продається і не передається. Ми ніколи не продамо, не ліцензуємо і не передамо персональні дані іншій компанії у зв'язку із закриттям, ліквідацією чи банкрутством. Якщо сервіс перейде до іншого оператора як діючий бізнес, організаторів повідомлять заздалегідь і вони зможуть заперечити та вимагати видалення.
• Організатори отримають попередження настільки завчасно, наскільки це розумно можливо, як правило, щонайменше за тридцять (30) днів, щоб завантажити свої фото. Оригінали в будь-якому разі зберігаються в них.
• Завантажте те, що хочете залишити. Фото у «Збережених» живуть у вашому браузері, але посилаються на зображення на наших серверах: щойно галереї зникнуть, вони більше не завантажаться.

Ми вважаємо за краще сказати це прямо зараз, ніж здивувати когось потім. Саме тому ми зберігаємо ваші біометричні дані якнайкоротший час, а фото завжди залишаються власністю організатора.

Ми можемо оновлювати цю Політику час від часу; дата «останнього оновлення» змінюється відповідно. Суттєві зміни, що стосуються учасників, відображаються в галереї заходу.

IquraPhotos, [email protected]. Це адреса для будь-якого питання щодо персональних даних: доступ, виправлення, видалення, відкликання згоди або будь-що, що ви хотіли б з'ясувати. IquraPhotos працює як ФОП Корнієнко Олександр Віталійович.

Щодо фотографій вашого заходу спочатку зверніться до організатора: він є володільцем персональних даних і публікує галерею.