Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок и условия обработки персональных данных и меры по их защите, применяемые Никоновым Кириллом Алексеевичем, ИНН 645004870101 (далее — «Оператор»), при работе сайта trafaret.cc (далее — «Сайт») и плагинов для Figma, разработанных Оператором (далее — «Плагины»). Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

1.2. Политика опубликована на Сайте в соответствии со ст. 18.1 152-ФЗ и доступна из Плагинов и со страниц Плагинов в Figma Community.

1.3. Политика распространяется на Сайт и на Плагины. На дату настоящей редакции плагины Texor и KORD не передают данные пользователей на серверы Оператора. Если это изменится, Оператор обновит Политику до начала соответствующей обработки и, если требуется, запросит отдельное согласие.

1.4. Политика не распространяется на сервисы третьих лиц (Figma, Lava.top, Google, Telegram, Cloudflare), на которые ведут ссылки или которые используются при работе Сайта и Плагинов. Эти лица обрабатывают данные самостоятельно на условиях собственных политик.

1.5. Плагин Luqo передаёт Оператору обезличенную статистику использования — суммарные счётчики без идентификатора пользователя (см. раздел 4).

1.6. IP-адрес может рассматриваться как персональные данные. Оператор обрабатывает его только технически: он попадает в журналы веб-сервера (хранятся не более 12 месяцев) и на мгновение используется в памяти сервера, чтобы определить страну; в базе данных статистики IP-адрес не сохраняется, там хранится только страна. Случайный идентификатор клиента отправляли более ранние версии Плагина; текущая версия его Оператору не передаёт. Оператор стремится собирать как можно меньше данных.

2. Принципы обработки

Оператор обрабатывает персональные данные на законной и справедливой основе; только для заранее определённых целей; в объёме, необходимом для этих целей; не хранит их дольше, чем этого требуют цели обработки; принимает меры по поддержанию их точности и актуальности; не объединяет базы данных, созданные для несовместимых целей.

3. Какие данные обрабатываются, для чего и как долго

3.1. Сайт не содержит форм регистрации, аккаунтов и комментариев и не запрашивает у посетителей имя, телефон или платёжные данные. Сайт не использует cookies, счётчики аналитики и рекламные трекеры.

3.2. Цели, категории данных, правовые основания и сроки хранения:

3.3. Оператор не получает содержимое файлов и макетов Figma, слои и тексты макетов, названия файлов и проектов Figma, а также данные аккаунта Figma (имя, адрес электронной почты). В текущей версии Плагин передаёт на серверы Оператора только технические запросы на загрузку каталогов шрифтов, превью и данных о лицензиях (п. 3.2) и, если пользователь проверяет файл шрифта, обезличенные сведения о самом шрифте (п. 3.5). Поисковые запросы, избранное, сами файлы шрифтов и настройки остаются на устройстве пользователя.

3.4. Оператор не принимает решений, порождающих юридические последствия для субъекта персональных данных, на основании исключительно автоматизированной обработки.

3.5. Сведения о проверенных шрифтах. Когда пользователь проверяет файл шрифта в Плагине, Плагин отправляет Оператору только сведения о самом шрифте: название семейства, метаданные из служебных таблиц шрифта (в том числе авторские, лицензионные и наименовательные записи), результат анализа и признак поддержки кириллицы. Не передаются сам файл шрифта, имя файла, идентификатор клиента и любые иные сведения о пользователе; в базе данных таких сведений не сохраняются ни IP-адрес, ни страна (IP-адрес запроса в журналах веб-сервера обрабатывается на условиях п. 3.2). Цель — найти шрифт, изучить условия его лицензии и пополнить справочную базу данных Оператора о лицензиях. Эти сведения относятся к шрифту, а не к пользователю, и не позволяют установить пользователя; Оператор не считает их персональными данными пользователя. Они хранятся, пока необходимы для наполнения базы данных.

4. Статистика использования Luqo

4.1. Luqo передаёт Оператору обезличенную статистику использования: число открытий плагина по дням; язык и тему интерфейса; страну (двухбуквенный код, IP-адрес не сохраняется); использованные функции (применение шрифта, поиск — без текста запросов, проверка файла, переход по ссылкам, показ и прохождение окна «Что нового»); суммарное число добавлений каждого шрифта в избранное; диапазон продолжительности работы с плагином.

4.2. Эти данные хранятся только в виде суммарных счётчиков по дням и не связаны с конкретным пользователем: идентификатор клиента, имя или аккаунт Figma, тексты поисковых запросов, файлы и имена файлов не передаются. Для подсчёта уникальных пользователей за день плагин формирует случайный код, который меняется каждый день; сервер хранит его не более двух суток только для исключения повторного учёта и затем удаляет, коды разных дней между собой не связываются. Код сессии также хранится не более двух суток. Счётчики хранятся не более 12 месяцев. Оператор не считает такие данные персональными данными пользователя, поскольку они не позволяют его определить, поэтому отдельное согласие на них не запрашивается.

4.3. Более ранние версии Плагина отправляли статистику с идентификатором клиента. Собранные ими данные хранятся не более 12 месяцев с даты последнего события и затем удаляются автоматически; IP-адреса из базы данных статистики удалены. Если Оператор в будущем начнёт собирать статистику, связанную с идентификатором пользователя, он сделает это только после обновления настоящей Политики, при условии отдельного добровольного согласия пользователя (по умолчанию выключено, отказ не ограничивает функции Плагина) и без сохранения IP-адресов. Текст такого согласия приведён в документе «Согласие на обработку персональных данных (Luqo)» и применяется только с момента включения такого сбора.

4.4. Принятие Условий использования Luqo не является согласием на обработку персональных данных.

5. Данные на устройстве пользователя

5.1. Сайт хранит в браузере (localStorage) выбранный язык интерфейса; эти данные остаются на устройстве, Оператору не передаются и могут быть удалены в настройках браузера.

5.2. Luqo сохраняет в хранилище Figma (clientStorage) и в локальных кэшах на устройстве пользователя настройки (язык, тема, фильтры), список избранного, версию принятых Условий и служебный случайный идентификатор клиента. Эти данные остаются на устройстве и Оператору не передаются; Оператору отправляется только обезличенная статистика, описанная в разделе 4.

6. Способы обработки

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, обезличивание, блокирование, удаление и уничтожение персональных данных с использованием средств автоматизации и без них. Данные не распространяются и не передаются для рекламы, профилирования или иных целей, не указанных в Политике; Оператор не продаёт персональные данные.

7. Третьи лица

7.1. Хостинг. Сайт и сервер статистики Luqo размещены на арендуемом сервере хостинг-провайдера, расположенном на территории Российской Федерации. Провайдер предоставляет вычислительные ресурсы; цели и способы обработки определяет Оператор.

7.2. Cloudflare. Доменные имена Сайта и сервера статистики Luqo обслуживаются через сеть доставки контента и защиты от атак Cloudflare. Запросы пользователей проходят через инфраструктуру Cloudflare, расположенную в том числе за пределами Российской Федерации; она обрабатывает IP-адрес и технические данные запроса в транзитном режиме для доставки трафика и защиты от атак. Базы данных Оператора на инфраструктуре Cloudflare не размещаются.

7.3. Lava.top. Платёжный сервис является самостоятельным оператором персональных данных. Платёжные данные вводятся на его стороне, условия обработки определяются его политикой конфиденциальности.

7.4. Google Fonts. При работе плагина Luqo Плагин запрашивает шрифты у сервисов Google (fonts.googleapis.com, fonts.gstatic.com); при этом Google получает IP-адрес пользователя и технические данные запроса. Оператор эти данные не получает. Сайт шрифты Google не использует.

7.5. Figma. Плагины работают внутри Figma на условиях Figma; Figma обрабатывает данные своих пользователей самостоятельно.

7.6. Данные могут быть раскрыты государственным органам в случаях и порядке, прямо предусмотренных законом.

8. Локализация и трансграничная передача

8.1. Первичная запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

8.2. При использовании сети Cloudflare (п. 7.2) и сервисов Google (п. 7.4) данные могут передаваться на территорию иностранных государств, в том числе Соединённых Штатов Америки. Такая передача осуществляется с соблюдением требований ст. 12 152-ФЗ.

9. Меры защиты

Оператор применяет правовые, организационные и технические меры, необходимые для защиты персональных данных (ст. 19 152-ФЗ): шифрование канала передачи данных (HTTPS/TLS); парольную защиту административного доступа; ограничение круга лиц, имеющих доступ к данным; ограничение частоты запросов к серверу; резервное копирование баз данных. В случае инцидента, повлёкшего неправомерную передачу персональных данных, Оператор уведомляет Роскомнадзор в порядке и сроки, установленные ст. 21 152-ФЗ.

10. Права субъектов и порядок обращений

10.1. Субъект персональных данных вправе: получить сведения об обработке своих данных; требовать их уточнения, блокирования или уничтожения, если они неполны, устарели, неточны, получены незаконно либо не нужны для заявленной цели; отозвать согласие на обработку; обжаловать действия Оператора в Роскомнадзор или в суд (ст. 14, 17 152-ФЗ).

10.2. Обращения направляются на адрес электронной почты [email protected]. Оператор вправе запросить сведения, необходимые для установления личности обратившегося лица. Данные статистики более ранних версий Плагина привязаны только к случайному идентификатору клиента, а не к имени или адресу электронной почты, поэтому найти их без этого идентификатора обычно невозможно; они в любом случае удаляются автоматически по истечении срока хранения (п. 4.2).

10.3. Оператор отвечает на запрос в течение 10 рабочих дней; этот срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ст. 20 152-ФЗ). При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты получения отзыва, если иное не предусмотрено законом (ч. 5 ст. 21 152-ФЗ).

11. Пользователи из Европейской экономической зоны, Великобритании и Швейцарии

11.1. В отношении таких пользователей Оператор действует как контролёр данных (controller) в значении Общего регламента защиты данных (GDPR) и его аналогов. Правовые основания указаны в таблице п. 3.2.

11.2. Вы вправе запрашивать доступ к своим данным, их исправление, удаление, ограничение обработки, переносимость, возражать против обработки, основанной на законных интересах, и отозвать согласие в любое время, что не влияет на законность обработки до отзыва. Вы вправе подать жалобу в надзорный орган по месту проживания.

11.3. Данные обрабатываются на территории Российской Федерации, в отношении которой отсутствует решение Европейской комиссии о достаточном уровне защиты. Такая передача осуществляется на основании исключений, предусмотренных ст. 49 GDPR, в частности вашего явного согласия либо необходимости передачи для предоставления запрошенных вами функций.

12. Дети

Сайт и Плагины не предназначены для лиц младше 16 лет. Оператор сознательно не собирает персональные данные таких лиц. Если вы полагаете, что Оператору стали известны данные ребёнка, напишите на адрес электронной почты Оператора, и они будут удалены.

13. Изменение Политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации, если в ней не указан иной срок. О несущественных изменениях Оператор уведомляет через Плагин или публикацией новой редакции; повторное принятие не требуется. При существенных изменениях, требующих нового согласия, Оператор запрашивает его через Плагин до начала соответствующей обработки. Предыдущие редакции предоставляются по запросу.

14. Контакты Оператора

Personal Data Processing Policy

1. General provisions

1.1. This Policy sets out the procedure and conditions for processing personal data and the protection measures applied by Kirill Nikonov (Nikonov Kirill Alekseevich), INN 645004870101 (the “Operator”), in operating the website trafaret.cc (the “Website”) and the Figma plugins developed by the Operator (the “Plugins”). It has been prepared in accordance with Federal Law No. 152-FZ of 27 July 2006 “On Personal Data” (“152-FZ”).

1.2. The Policy is published on the Website in accordance with Art. 18.1 of 152-FZ and is available from the Plugins and from the Plugins’ pages in Figma Community.

1.3. The Policy applies to the Website and the Plugins. As of this version, the Texor and KORD plugins do not send user data to the Operator’s servers. If that changes, the Operator will update the Policy before the relevant processing begins and, where required, request separate consent.

1.4. The Policy does not apply to third-party services (Figma, Lava.top, Google, Telegram, Cloudflare) that are linked to or used in the operation of the Website and the Plugins. These parties process data independently under their own policies.

1.5. The Luqo plugin sends the Operator anonymous usage statistics — aggregate counters without a user identifier (see section 4).

1.6. An IP address may be regarded as personal data. The Operator processes it only technically: it appears in the web server logs (kept for no more than 12 months) and is briefly used in server memory to determine the country; the IP address is not stored in the statistics database, which keeps only the country. A random client identifier was sent by earlier versions of the Plugin; the current version does not send it to the Operator. The Operator aims to collect as little data as possible.

2. Principles of processing

The Operator processes personal data lawfully and fairly; only for predefined purposes; in the amount necessary for those purposes; keeps it no longer than the purposes require; takes measures to keep it accurate and up to date; and does not combine databases created for incompatible purposes.

3. What data is processed, why and for how long

3.1. The Website has no registration forms, accounts or comments and does not ask visitors for a name, phone number or payment details. The Website does not use cookies, analytics counters or advertising trackers.

3.2. Purposes, categories of data, legal bases and retention:

3.3. The Operator does not receive the contents of Figma files and designs, layers or text in designs, Figma file or project names, or Figma account data (name, email address). In the current version the Plugin sends to the Operator’s servers only technical requests to load font catalogs, previews and licence data (clause 3.2) and, if the user checks a font file, anonymous facts about the font itself (clause 3.5). Search queries, favourites, the font files themselves and settings stay on the user’s device.

3.4. The Operator does not make decisions that produce legal consequences for a data subject based solely on automated processing.

3.5. Facts about checked fonts. When a user checks a font file in the Plugin, the Plugin sends the Operator only facts about the font itself: the family name, metadata from the font’s internal tables (including copyright, licence and naming records), the analysis result and whether Cyrillic is supported. Not sent: the font file itself, the file name, the client identifier and any other information about the user; neither the IP address nor the country is stored with such data in the database (the request’s IP address in web-server logs is handled as described in clause 3.2). The purpose is to find the font, study its licence terms and extend the Operator’s licence reference database. This information relates to the font, not to the user, and does not allow the user to be identified; the Operator does not regard it as the user’s personal data. It is kept for as long as it is needed to build up the database.

4. Luqo usage statistics

4.1. Luqo sends the Operator anonymous usage statistics: the number of plugin opens per day; the interface language and theme; the country (two-letter code, the IP address is not stored); the features used (applying a font, search — without the query text, checking a file, following links, showing and completing the “What’s new” window); the total number of times each font is added to favourites; and a range of session length.

4.2. This data is kept only as aggregate daily counters and is not linked to any individual user: no client identifier, Figma name or account, search query text, files or file names are sent. To count unique users per day the plugin generates a random code that changes every day; the server keeps it for no more than two days, only to avoid counting twice, and then deletes it; codes from different days are not linked to each other. The session code is likewise kept for no more than two days. Counters are kept for no more than 12 months. The Operator does not regard such data as personal data of a user because it does not allow the user to be identified, so separate consent is not requested for it.

4.3. Earlier versions of the Plugin sent statistics together with a client identifier. The data they collected is kept for no more than 12 months from the last event and then deleted automatically; IP addresses have been erased from the statistics database. If the Operator begins in the future to collect statistics linked to a user identifier, it will do so only after this Policy is updated, subject to the user’s separate voluntary consent (off by default; refusing does not limit the Plugin’s functions) and without storing IP addresses. The text of that consent is in the document “Consent to personal data processing (Luqo)” and applies only from the moment such collection is switched on.

4.4. Accepting the Luqo Terms of Use is not consent to the processing of personal data.

5. Data on the user’s device

5.1. The Website stores the selected interface language in the browser (localStorage); this data stays on the device, is not sent to the Operator and can be deleted in the browser settings.

5.2. Luqo stores in Figma storage (clientStorage) and in local caches on the user’s device its settings (language, theme, filters), the favourites list, the version of the Terms accepted and a technical random client identifier. This data stays on the device and is not sent to the Operator; only the anonymous statistics described in section 4 are sent.

6. Methods of processing

The Operator collects, records, organises, accumulates, stores, updates, retrieves, uses, anonymises, blocks, deletes and destroys personal data, with and without the use of automation. Data is not published or passed on for advertising, profiling or other purposes not stated in this Policy; the Operator does not sell personal data.

7. Third parties

7.1. Hosting. The Website and the Luqo statistics server are hosted on a rented server of a hosting provider located in the Russian Federation. The provider supplies computing resources; the Operator determines the purposes and means of processing.

7.2. Cloudflare. The domain names of the Website and of the Luqo statistics server are served through the Cloudflare content delivery and attack-protection network. Users’ requests pass through Cloudflare infrastructure located, among other places, outside the Russian Federation, which processes the IP address and technical request data in transit to deliver traffic and protect against attacks. The Operator’s databases are not hosted on Cloudflare infrastructure.

7.3. Lava.top. The Payment Service is an independent controller of personal data. Payment details are entered on its side and processing is governed by its privacy policy.

7.4. Google Fonts. When Luqo is in use, the Plugin requests fonts from Google services (fonts.googleapis.com, fonts.gstatic.com); Google thereby receives the user’s IP address and technical request data. The Operator does not receive this data. The Website does not use Google fonts.

7.5. Figma. The Plugins run inside Figma under Figma’s terms; Figma processes its users’ data independently.

7.6. Data may be disclosed to public authorities in cases and in the manner expressly provided by law.

8. Localisation and cross-border transfer

8.1. Initial recording, organisation, accumulation, storage, updating and retrieval of personal data of citizens of the Russian Federation are carried out using databases located in the Russian Federation (Art. 18(5) of 152-FZ).

8.2. When the Cloudflare network (clause 7.2) and Google services (clause 7.4) are used, data may be transferred to the territory of foreign states, including the United States of America. Such transfer is carried out in compliance with Art. 12 of 152-FZ.

9. Security measures

The Operator applies the legal, organisational and technical measures necessary to protect personal data (Art. 19 of 152-FZ): encryption of data in transit (HTTPS/TLS); password protection of administrative access; a limited circle of persons with access to data; rate limiting of requests to the server; database backups. In the event of an incident resulting in unlawful transfer of personal data, the Operator notifies Roskomnadzor in the manner and within the time limits set by Art. 21 of 152-FZ.

10. Data subject rights and requests

10.1. A data subject has the right to: obtain information about the processing of their data; demand that it be corrected, blocked or destroyed if it is incomplete, outdated, inaccurate, unlawfully obtained or not necessary for the stated purpose; withdraw consent to processing; and complain about the Operator’s actions to Roskomnadzor or a court (Art. 14 and 17 of 152-FZ).

10.2. Requests should be sent to [email protected]. The Operator may ask for information needed to verify the requester’s identity. Statistics data from earlier Plugin versions is linked only to a random client identifier, not to a name or email address, so it usually cannot be located without that identifier; in any case it is deleted automatically when the retention period ends (clause 4.2).

10.3. The Operator replies to a request within 10 business days; this period may be extended by no more than 5 business days on a reasoned notice (Art. 20 of 152-FZ). On withdrawal of consent, the Operator stops processing and destroys the personal data within 30 days of receiving the withdrawal, unless the law provides otherwise (Art. 21(5) of 152-FZ).

11. Users in the European Economic Area, the United Kingdom and Switzerland

11.1. For these users the Operator acts as the controller within the meaning of the General Data Protection Regulation (GDPR) and its equivalents. The legal bases are set out in the table in clause 3.2.

11.2. You may request access to your data, its rectification, erasure, restriction of processing and portability; object to processing based on legitimate interests; and withdraw consent at any time, without affecting the lawfulness of processing before withdrawal. You may lodge a complaint with the supervisory authority where you live.

11.3. Data is processed in the Russian Federation, for which there is no European Commission adequacy decision. The transfer relies on the derogations in Art. 49 GDPR, in particular your explicit consent or the necessity of the transfer to provide the functions you requested.

12. Children

The Website and the Plugins are not intended for persons under 16. The Operator does not knowingly collect personal data of such persons. If you believe the Operator has received a child’s data, write to the Operator’s email address and it will be deleted.

13. Changes to this Policy

The Operator may amend this Policy. A new version takes effect on publication unless it states a later date. Non-material changes are announced in the Plugin or by publishing the new version; re-acceptance is not required. For material changes that require new consent, the Operator requests it through the Plugin before the relevant processing begins. Previous versions are available on request.

The Russian-language version prevails in case of discrepancies; the English version is provided for convenience.

14. Operator contact details