Комплаенс и доверие

Эта страница собирает обязательства по соответствию требованиям, стоящие за stream-rise.com. Она дополняет нашу /privacy-policy, /aml-kyc-statement, /refund-policy и /sla. Используйте эту страницу как единый индекс при оценке Streamrise как обработчика данных, платёжного контрагента или поставщика услуг.

1. Контакт по соответствию

Streamrise поддерживает единый контакт комплаенса для вопросов защиты данных, безопасности и регулирования: support@stream-rise.com (префикс темы: [Compliance]).

Мы в настоящее время не назначаем отдельного инспектора по защите данных (DPO) по статье 37 GDPR, поскольку наша основная деятельность не предполагает крупномасштабной обработки специальных категорий данных и не требует регулярного крупномасштабного мониторинга субъектов данных. Контакт по соответствию, указанный выше, выступает единой ответственной точкой для эквивалентной деятельности — обработка запросов субъектов (DSAR), проверка субпроцессоров, реагирование на утечки и пересмотр политик.

2. Представитель в ЕС (статья 27 GDPR)

Streamrise зарегистрирован за пределами ЕС/ЕЭЗ. Мы постоянно отслеживаем объём и характер обработки персональных данных резидентов ЕЭЗ. На дату «последнего обновления» выше мы оценили, что порог для представителя по статье 27 не достигнут по исключению «эпизодическая обработка, низкий риск для прав и свобод».

Если эта оценка изменится — например, если объём заказов от резидентов EEA превысит порог регулярного мониторинга, — мы назначим официального представителя в ЕС и опубликуем здесь его имя и контактные данные. До этого субъекты данных из EEA могут связаться с нами через контакт по комплаенсу в §1; мы отвечаем в течение 30-дневного срока GDPR.

3. Уведомление об утечке персональных данных

Мы следуем процессу уведомления в течение 72 часов по образцу статей 33–34 GDPR:

• Обнаружение. Операционные логи (Elasticsearch) и алерты инструментов поступают в единый дежурный ящик, который мониторится непрерывно. Подозрительные инциденты сортируются в течение четырёх часов.
• Локализация и оценка. В течение 24 часов после первичной оценки мы закрываем непосредственный вектор, при необходимости замораживаем затронутые аккаунты и оцениваем, действительно ли персональные данные были раскрыты.
• Уведомление регулятора. Когда подтверждено нарушение, подлежащее уведомлению, мы уведомляем ведущий надзорный орган в течение 72 часов с момента, когда узнали о нарушении. Если уложиться в этот срок не удаётся, уведомление всё равно подаётся с документально обоснованной причиной задержки (статья 33(1), второе предложение).
• Уведомление пострадавших лиц. Если утечка, вероятно, повлечёт высокий риск для прав и свобод, мы без неоправданной задержки уведомляем затронутых лиц (статья 34) — напрямую по email на адрес, указанный в нашей учётной записи, простым языком, с описанием затронутых данных и шагов, которые можно предпринять.
• После инцидента. По каждому событию, подлежащему уведомлению, составляется письменный постмортем, который хранится не менее трёх лет; меры по устранению отслеживаются до завершения.

Чтобы сообщить о предполагаемой проблеме безопасности, напишите на support@stream-rise.com с темой [Security]. Мы подтверждаем получение отчётов о безопасности в течение одного рабочего дня и не преследуем в судебном порядке добросовестных исследователей, которые следуют нашим правилам скоординированного раскрытия.

4. Список субпроцессоров

Актуальный список субпроцессоров — платёжные процессоры, инструменты поддержки, аналитика, почтовая доставка и инфраструктура — ведётся в /privacy-policy §5. Существенные изменения (новый субпроцессор с доступом к персональным данным или смена правового основания для существующего) сообщаются обновлением этого списка и датой «Последнее обновление» в политике конфиденциальности. Заказчики, работающие по договорам об обработке данных, получают уведомление об изменениях субпроцессоров по email за 14 дней до вступления в силу.

5. Трансграничная передача данных

Наша инфраструктура размещена в европейских дата-центрах. Там, где субпроцессоры обрабатывают персональные данные из ЕЭЗ за пределами ЕЭЗ — в частности, Google Analytics на отдельных страницах, — передача осуществляется на основании Стандартных договорных положений Европейской комиссии 2021 года (SCC) или решения об адекватности, если оно действует для страны назначения (сейчас: Великобритания, Швейцария и юрисдикции, перечисленные в решениях Комиссии).

Перед подключением субпроцессора, который передаёт данные за пределы ЕЭЗ, мы проводим оценку воздействия передачи для каждой страны без адекватного уровня защиты и пересматриваем её раз в 12 месяцев.

6. Раскрытие аффилированных связей и рекомендаций (FTC)

Streamrise ведёт реферальную программу (см. /refer). Рефереры получают комиссию, когда приведённые ими клиенты покупают у нас.

В соответствии с Руководством FTC США по рекомендациям (16 CFR Part 255) и Правилом о потребительских отзывах 2024 года каждый, кто публикует рекомендацию Streamrise и имеет с нами существенную связь — включая партнёров по реферальным ссылкам, платных креаторов и наших собственных сотрудников, — обязан чётко и заметно раскрыть эту связь в том же формате, что и рекомендация (например, #ad, #sponsored, или «я получаю комиссию, если вы зарегистрируетесь по моей ссылке» — видно без нажатия «ещё», не спрятано в описании профиля).

Streamrise не платит за отзывы клиентов, не запрашивает их и не скрывает выборочно. В наших публичных разделах отзывов используется только обратная связь, привязанная к проверенным аккаунтам клиентов. Любое будущее платное партнёрство с авторами будет регулироваться письменным брифом, который обязывает автора соблюдать требование FTC о раскрытии; партнёрства без раскрытия мы прекратим. Внутренние авторские подписи на stream-rise.com (например, /author/alex-morrison) — псевдонимные персонажи редакционной команды, раскрытые в тексте на каждой авторской странице, и не являются платными рекомендациями.

7. Категории cookie и согласие

Категории cookie, сторонние теги и механизм согласия описаны в /privacy-policy §4. Cookie, которые не являются строго необходимыми, включаются только после явного согласия при первом визите, с равнозначными вариантами «Accept / Reject / Manage». Автоматически формируемый и всегда актуальный список cookie размещён в /privacy-policy.

8. Эскалация жалоб

Если вы считаете, что Streamrise неправильно обработал ваши персональные данные:

1. Напишите контактному лицу по комплаенсу из §1. Ответим в течение пяти рабочих дней, содержательный ответ — в течение 30 дней.
2. Если вы не удовлетворены нашим ответом, вы вправе подать жалобу в орган по защите данных страны вашего проживания. Жители ЕЭЗ и Великобритании могут найти свой ведущий надзорный орган через Европейский совет по защите данных (edpb.europa.eu) или Управление комиссара по информации Великобритании (ico.org.uk).
3. Жители Калифорнии могут дополнительно обратиться в Агентство по защите частной жизни Калифорнии (cppa.ca.gov).

Подача жалобы регулятору — ваше законное право; она не требует обращения к нам и не зависит от него.

9. Периодичность пересмотра Политики

Политики, на которые ссылается эта страница, пересматриваются не реже раза в год. Мы также переиздаём их, когда появляется:

• существенное изменение персональных данных, которые мы собираем, или целей, для которых мы их используем;
• изменение нашего списка субпроцессоров, которое влияет на то, кто получает персональные данные;
• изменение применимого законодательства (ЕС, Великобритания, штаты США или другие юрисдикции, где у нас есть клиенты); или
• инцидент, разбор которого требует уточнения политики.

Дата «Последнее обновление» в начале каждой политики отражает последнюю редакцию. О существенных изменениях, которые уменьшают ваши права, сообщим по электронной почте не менее чем за 14 дней до их вступления в силу.