Це повідомлення стосується персональних даних. Самі результати інспекції обчислюються з публічних даних репозиторіїв, хостинг-платформ і пакетних реєстрів і публікуються як публічний реєстр.
Хто відповідальний
Контролер — Vitalii Stepanenko, зареєстрований в Іспанії, який надає цей сервіс під назвою inspect.software:
- Calle Vicente Tormo Alfonso, 4, 46015 València, Іспанія
- NIF Z1828056K (номер ПДВ ESZ1828056K)
mail@inspect.software
Відповідь на запити надається протягом одного місяця.
Що обробляється, навіщо і як довго
| Дані | Мета | Правова підстава | Зберігання |
|---|---|---|---|
| Логін і кількість комітів контриб'юторів | Публічний запис про те, хто підтримує проєкт | Легітимний інтерес | Публікується |
| Поля профілю контриб'юторів і власників (ім'я, локація, компанія, організації) | Розв'язання ідентичності; сигнали підтримки та юрисдикції | Легітимний інтерес | Замінюються при кожному повторному скануванні; видаляються за запереченням |
| Контактні адреси мейнтейнерів | Зв'язок з відповідальними за проєкт | Легітимний інтерес | До заперечення; ніколи не публікуються |
| Профіль облікового запису та пошта | Робота облікового запису | Договір | До запиту про видалення |
| Баланс і транзакції | Виставлення рахунків і облік | Договір; юридичний обов'язок | Законодавчий строк обліку |
| Вимірювання аудиторії | Показники трафіку | Легітимний інтерес | 90 днів |
| Журнали доступу сервера | Експлуатація, діагностика, зловживання | Легітимний інтерес | 30 днів |
Дані про людей з публічних джерел
Поля профілю контриб'юторів і власників, а також контактні адреси мейнтейнерів надходять із публічного API GitHub і з пакетних реєстрів, а не від самої особи (ст. 14). Поля профілю використовуються, щоб визначити, хто підтримує проєкт, і — якщо самостійно опублікована локація потрапляє в охоплення політики щодо Росії, Ірану чи Північної Кореї — щоб обчислити агрегований сигнал юрисдикції. Публічні звіти показують лише кількість за країнами й ролями: поля профілю та контактні адреси виключені з кожної опублікованої сторінки й кожної відповіді API. Сервіс не виводить ані національності, ані громадянства, ані санкційного статусу, ані індивідуальної благонадійності.
Контактні адреси використовуються лише для того, щоб повідомити мейнтейнера, що його проєкт потрапив до реєстру. Вони не публікуються, не продаються й не використовуються для розсилок.
Індивідуальне сповіщення неможливе в такому масштабі й вимагало б обробки більшої кількості даних про більшу кількість людей, ніж використовують самі сигнали (ст. 14(5)(b)), тому це повідомлення публікується тут. Будь-хто може заперечити через контакт: поля профілю або адресу видаляють і виключають із подальших сканувань.
Дані облікового запису
Вхід здійснюється через GitHub OAuth з єдиним дозволом лише для читання — адреси електронної пошти (user:email). Зберігаються базові дані профілю, потрібні обліковому запису: логін, відображуване ім'я, аватар, ідентифікатори, а також баланс і його транзакції. Токен доступу використовується лише для читання публічних даних: власних публічних репозиторіїв і права власності на репозиторій, коли сканування покрите членством у програмі для розробників.
Cookie та вимірювання аудиторії
Підписаний сесійний cookie зберігає вхід в обліковий запис. Він встановлюється лише після входу, є строго необхідним для цієї мети й не потребує згоди.
Вимірювання аудиторії не встановлює cookie й не зберігає ідентифікаторів у браузері. Воно фіксує перегляди сторінок разом із сайтом-джерелом переходу та відомостями, що виводяться із запиту, — браузер, операційна система, тип пристрою, мова й країна — протягом 90 днів.
Якщо під час постановки сканування в чергу запитано сповіщення, служба сповіщень зберігає дані своєї підписки у браузері. Дозвіл можна відкликати в налаштуваннях сайту у браузері.
Одержувачі та передачі
Сервіс працює на орендованих серверах, і його хостинг-провайдер обробляє те, що через них проходить. GitHub, Stripe (платежі) та OneSignal (сповіщення й транзакційна пошта) є процесорами у Сполучених Штатах; передачі спираються на Рамку конфіденційності даних ЄС–США та стандартні договірні положення в їхніх договорах про обробку. Рекламної мережі немає, а вимірювання аудиторії не передане назовні.
Права
Доступ, виправлення, видалення, обмеження, перенесення та заперечення проти обробки на підставі легітимного інтересу — зокрема щодо описаних вище полів профілю та контактних адрес. Там, де обробка ґрунтується на згоді, її можна відкликати будь-коли, і це не впливає на законність попередньої обробки.
Запити надсилаються на контакт. Дані облікового запису та сесії видаляються на запит; опубліковані звіти щодо публічних репозиторіїв є записами публічних даних і залишаються опублікованими (див. умови).
Скаргу можна подати до наглядового органу — для цього сервісу це іспанське Agencia Española de Protección de Datos або національний орган країни проживання заявника.
Зміни
Про суттєві зміни повідомляється на цій сторінці з оновленою датою.