Сотрудничество с органами власти и запросы о предоставлении данных

1.Поставщик сервиса и адресаты политики

pik.li — сервис компании InCloud S.r.l., общества, созданного по праву Италии, с юридическим адресом в г. Виньола (провинция Модена). В отношении хранимых коротких ссылок InCloud является поставщиком посреднических услуг хранения информации (хостинга) по смыслу Регламента (ЕС) 2022/2065 о цифровых услугах (далее — «DSA»); компетентным координатором цифровых услуг в Италии является Управление по гарантиям в сфере связи (Autorità per le garanzie nelle comunicazioni, AGCOM).

Настоящая политика адресована судебным органам, полиции, административным и надзорным органам, а также национальным группам CERT/CSIRT, которые в силу применимого к ним законодательства вправе запрашивать информацию, сохранение данных или удаление контента. Указанный здесь адрес является также единым контактным пунктом для органов государств-членов, Европейской комиссии и Европейского совета по цифровым услугам (ст. 11 DSA).

Пользователи pik.li, правообладатели, адвокаты и иные частные лица не должны использовать этот канал: для сообщения о вредоносной ссылке предусмотрена форма жалобы, а по вопросам, связанным с собственной учётной записью, следует обращаться в службу поддержки клиентов. InCloud передаёт персональные данные частным лицам только по распоряжению судебного органа или в случаях, когда этого требует закон.

2.Порядок направления запросов

Запросы направляются на адрес, указанный в начале этой страницы. Почтовым ящиком непосредственно управляет InCloud S.r.l.; он проверяется в рабочие дни. Срочные запросы рассматриваются в порядке, описанном в разделе «Запросы в чрезвычайных ситуациях».

InCloud подтверждает получение каждого запроса и сообщает регистрационный номер, который следует указывать в последующей переписке.

Принимаются запросы на итальянском и английском языках; запросы на других языках также рассматриваются, однако их перевод может занять больше времени.

3.Содержание запроса

Чтобы обеспечить быстрый и точный ответ, запрос должен быть полным и содержать:

1. 1 Запрашивающий орган: подразделение, фамилию, имя, должность и служебные контактные данные ответственного должностного лица (номер телефона коммутатора и официальный адрес электронной почты).
2. 2 Реквизиты производства: номер уголовного дела, иного дела или регистрационный номер, а также, если он иной, судебный орган, ведущий производство.
3. 3 Правовое основание: норму, на основании которой направлен запрос, и, при наличии, акт судебного органа (постановление прокурора или судьи) либо европейское распоряжение.
4. 4 Точный перечень запрашиваемых данных: например, идентификационные данные учётной записи, входы с соответствующими IP-адресами, перечень и история ссылок, переходы, платежи, жалобы; либо требование о сохранении данных или об отключении ссылки.
5. 5 Ссылки или учётные записи, к которым относится запрос: полные короткие ссылки, по одной в строке, точно в том виде, в каком они отображаются (например, https://lnkz.li/abc1234), либо адрес электронной почты или имя пользователя учётной записи, номер платежа или идентификатор перехода. Общий поиск по содержанию или по адресу назначения невозможен.
6. 6 Интересующий период с указанием часового пояса. Журналы InCloud ведутся в UTC.
7. 7 Срок, в течение которого требуется ответ, и, при наличии, причины срочности.
8. 8 Указание на конфиденциальный характер запроса, если он имеется, и на период, в течение которого владелец учётной записи не должен уведомляться, со ссылкой на норму или акт, которые это предписывают.

Если запрос неполон, не позволяет с уверенностью установить запрашивающий орган или не содержит ясного правового основания, InCloud до ответа запрашивает необходимые дополнения. Тем временем, если существует риск утраты данных, InCloud обеспечивает их сохранение.

4.Проверка подлинности

Прежде чем передать какие-либо данные, InCloud проверяет, действительно ли запрос исходит от указанного органа:

• проверяет, что запрос направлен с официального адреса или с адреса PEC, принадлежащего соответствующему подразделению, и что документ подписан и не содержит противоречий;
• в случае сомнений связывается с подразделением по телефону, номер которого находит самостоятельно в официальных источниках (и никогда не использует номер, указанный в сообщении), либо запрашивает подтверждение, написав на публичный адрес PEC этого подразделения;
• может потребовать направления оригинала документа через PEC или подтверждения со стороны судебного органа, ведущего производство.

До завершения проверки данные не передаются, однако InCloud может обеспечить их сохранение, чтобы они не были утрачены. В чрезвычайных ситуациях проверка проводится в кратчайшие сроки параллельно с рассмотрением запроса.

Лицо, выдающее себя за представителя органа власти, совершает преступление: InCloud сообщает компетентным органам о каждом полученном поддельном запросе.

5.Данные, которые могут быть предоставлены

InCloud без промедления предоставляет имеющиеся у InCloud на момент запроса данные, охватываемые предметом запроса. В зависимости от обстоятельств это могут быть:

• Данные учётной записи: адрес электронной почты, имя пользователя, резервный адрес электронной почты (если указан), язык, даты регистрации, подтверждения и последней активности, статус, тарифный план, принятая редакция Условий использования; если с учётной записи совершались покупки — платёжные реквизиты, указанные владельцем учётной записи (имя, адрес, страна, наименование организации, номер плательщика НДС, налоговый код, телефон, адрес PEC).
• Входы: открытые сессии с полным IP-адресом, датой начала и последней активности, браузером, операционной системой и предполагаемым местоположением; журнал действий учётной записи (входы, смена пароля, включение двухэтапной аутентификации, изменения) с датой и (если он фиксировался) IP-адресом.
• Ссылки и кампании: адрес назначения, название, теги, UTM-параметры, домен, даты создания и последнего перехода, история изменений адреса назначения, пакет импорта — в том числе для ссылок, удалённых владельцем учётной записи, но ещё хранящихся.
• Переходы по ссылкам: дата и время, полный IP-адрес, предполагаемые страна, регион и город, устройство, браузер, операционная система, язык, страница, с которой совершён переход, user-agent и сеть, из которой совершён переход (ASN), по каждому переходу — в пределах срока хранения, предусмотренного тарифным планом владельца ссылки.
• Платежи и заказы: платёжный провайдер, идентификатор транзакции, суммы, даты, выставленные счета и чеки, приобретённые домены.
• Злоупотребления и модерация: полученные жалобы (с адресом электронной почты заявителя, если он указан), результаты автоматических проверок, решения сотрудников InCloud, обжалования владельца учётной записи, меры, принятые в отношении учётной записи.
• Обращения в службу поддержки и переписка между владельцем учётной записи и сотрудниками InCloud.

Как правило, идентификационные данные учётной записи предоставляются по письменному мотивированному запросу судебной полиции или судебного органа в рамках производства; IP-адреса входов и переходов, иные данные о переходах и содержание сообщений предоставляются на основании мотивированного постановления судебного органа, за исключением чрезвычайных ситуаций.

Если орган власти не указал иное, данные передаются по электронной почте или через PEC в структурированном файле (CSV, JSON или PDF) с указанием источника и времени выгрузки. Файлы могут быть зашифрованы; в этом случае пароль передаётся по отдельному каналу.

6.Данные, которые не могут быть предоставлены

• Личность лица, открывшего ссылку: InCloud хранит его IP-адрес и технические данные перехода, но не имя и не иные идентификационные данные. Чтобы установить абонента, которому принадлежит подключение, необходимо обратиться к интернет-провайдеру, которому был выделен этот IP-адрес.
• Содержание целевых страниц: pik.li хранит адрес, а не копию сайта. За сведениями о содержании следует обращаться к лицу, осуществляющему хостинг страницы.
• Данные, уже удалённые по истечении сроков хранения, указанных в Политике конфиденциальности, включая IP-адреса переходов: после удаления они не подлежат восстановлению — в том числе из резервных копий по истечении срока их хранения.
• Данные, которые InCloud не обрабатывает: реквизиты счёта PayPal или криптовалютного кошелька, данные платёжных средств, журналы Cloudflare, данные, которыми располагает регистратор или почтовый провайдер владельца учётной записи. InCloud охотно подскажет, к какому поставщику следует обратиться.
• Перехват или мониторинг в режиме реального времени: InCloud не является поставщиком услуг электронной связи. Однако по распоряжению органа власти InCloud может сохранять и предоставлять данные, которые будут сформированы в отношении определённой учётной записи или ссылки.
• Пароли в открытом виде: они хранятся только в виде необратимого хеша.
• Подтверждённая личность: имя и адрес указываются владельцем учётной записи и InCloud не проверяются, за исключением номера плательщика НДС, который проверяется в системе VIES.

7.Срочное сохранение данных

Если существует риск утраты данных до получения официального распоряжения, орган власти может потребовать их сохранения: InCloud исключает такие данные из процедур автоматического удаления на 90 дней с возможностью продления этого срока по мотивированному запросу и передаёт их только после получения действительного распоряжения.

InCloud без промедления исполняет распоряжения о сохранении данных, предусмотренные ч. 4-ter ст. 132 Кодекса о защите персональных данных Италии (Законодательный декрет № 196/2003), в течение указанного в них срока, но не дольше срока, установленного законом, а также европейские распоряжения о сохранении данных, предусмотренные Регламентом (ЕС) 2023/1543 (60 дней с возможностью продления ещё на 30 дней). InCloud сохраняет в тайне полученное распоряжение и совершённые действия в течение срока, указанного органом власти.

Сохранение распространяется на данные, существующие на момент запроса, и, если это указано, на данные, которые будут сформированы до истечения срока.

8.Запросы в чрезвычайных ситуациях

При непосредственной угрозе жизни или здоровью человека (например, риск самоубийства, похищение человека, угроза теракта, эксплуатация несовершеннолетнего) тема сообщения должна начинаться с английских слов «URGENT – DANGER TO LIFE» («Срочно — угроза жизни»), а в первых строках должна быть описана ситуация: кто находится в опасности, по какой причине, какие данные необходимы и почему невозможно дождаться вынесения акта в обычном порядке.

Такие запросы рассматриваются в первоочередном порядке. В пределах, допускаемых законом, InCloud может передать данные, строго необходимые для устранения чрезвычайной ситуации, до вынесения официального акта (подп. «d» п. 1 ст. 6 GDPR) и немедленно отключить ссылку; официальный акт должен быть направлен при первой возможности. В отношении срочных европейских распоряжений о предоставлении данных InCloud соблюдает восьмичасовой срок, установленный Регламентом (ЕС) 2023/1543.

Если InCloud самостоятельно становятся известны сведения, дающие основания подозревать преступление, создающее угрозу жизни или безопасности людей, InCloud по собственной инициативе информирует об этом компетентные органы (ст. 18 DSA).

9.Удаление и отключение ссылок

Ссылка, нарушающая правила pik.li, отключается, как только InCloud становится о ней известно, без ожидания распоряжения: адрес назначения становится недоступен, а открывший ссылку видит страницу с объяснением причины отключения. Любое лицо может сообщить о такой ссылке через страницу «Сообщить о нарушении»; орган власти может потребовать её отключения, направив запрос на адрес, указанный на этой странице.

InCloud исполняет распоряжения о принятии мер в отношении незаконного контента (ст. 9 DSA) и распоряжения о предоставлении информации (ст. 10 DSA) и без неоправданной задержки сообщает выдавшему их органу о принятых мерах и о времени их принятия.

По запросу InCloud отключает ссылку, не удаляя её, чтобы данные оставались доступными для расследования.

10.Запросы органов других государств

• Органы других государств — членов Европейского союза: InCloud исполняет европейские распоряжения о предоставлении и о сохранении данных, предусмотренные Регламентом (ЕС) 2023/1543, который применяется с 18 августа 2026 г., а также распоряжения, предусмотренные статьями 9 и 10 DSA. Иные запросы должны направляться в форме европейского следственного поручения (Директива 2014/41/ЕС) или через итальянские органы власти.
• Органы третьих стран: InCloud передаёт данные только через каналы правовой помощи (международное судебное поручение, договоры о взаимной правовой помощи — MLAT, Будапештская конвенция о преступности в сфере компьютерной информации) или через компетентные итальянские органы, поскольку решение иностранного органа само по себе не является достаточным основанием для передачи данных (ст. 48 GDPR). Тем не менее InCloud может обеспечить сохранение данных до поступления официального запроса, в том числе по обращению контактных пунктов сети 24/7, предусмотренной Будапештской конвенцией.
• В чрезвычайных ситуациях, когда под угрозой находится жизнь человека, InCloud в пределах, допускаемых законом, рассматривает в каждом конкретном случае и прямые запросы иностранных органов.

11.Уведомление владельца учётной записи

Как правило, InCloud уведомляет владельца учётной записи о касающемся его запросе или распоряжении и о принятых мерах, как это предусмотрено статьями 9 и 10 DSA для распоряжений органов власти.

InCloud не уведомляет владельца учётной записи или откладывает уведомление, если это запрещено законом или органом власти (например, в случае распоряжений о сохранении данных, предусмотренных ч. 4-ter ст. 132 Кодекса о защите персональных данных, или европейских распоряжений, по которым уведомление субъекта данных возложено на орган власти), если орган власти мотивированно просит об этом, чтобы не помешать расследованию, или если уведомление поставило бы под угрозу чью-либо безопасность. В запросе следует указывать срок действия обязанности соблюдать конфиденциальность: по его истечении, если он не продлён, InCloud уведомляет владельца учётной записи.

12.Реестр запросов и прозрачность

InCloud регистрирует каждый запрос и каждое распоряжение: дату получения, орган власти, реквизиты, проведённые проверки, предоставленные данные и дату ответа. Реестр является конфиденциальным и хранится в порядке, указанном в Политике конфиденциальности.

InCloud является малым предприятием, и, пока этот статус сохраняется, на InCloud не распространяется обязанность публиковать отчёт о прозрачности, предусмотренный DSA (п. 2 ст. 15); тем не менее InCloud может добровольно публиковать его краткое изложение.

13.Оговорки

• Настоящая политика описывает процедуры InCloud: она не является юридической консультацией, не предоставляет прав третьим лицам и не расширяет обязанностей, возложенных на InCloud законом.
• InCloud предоставляет исключительно данные, имеющиеся в системах InCloud на момент запроса, в том виде, в каком они существуют: InCloud не создаёт данные, которыми не располагает, и не восстанавливает удалённые данные.
• InCloud не гарантирует достоверность и полноту данных: имена, адреса и контактные данные указываются владельцами учётных записей; местоположение является оценкой, полученной на основе IP-адреса; IP-адрес может принадлежать VPN, прокси-серверу, сети Tor или оператору, который распределяет его между несколькими пользователями; время указывается по часам серверов InCloud в UTC.
• InCloud вправе отклонить или оспорить запрос либо запросить по нему разъяснения, если запрос представляется незаконным, несоразмерным, не имеющим ясного правового основания, не поддающимся проверке или касается данных, которые InCloud не обрабатывает. Никакие положения настоящей политики не означают отказа от прав и средств правовой защиты, принадлежащих InCloud или владельцам учётных записей.
• На InCloud не возлагается общая обязанность по мониторингу ссылок или по активному поиску фактов незаконной деятельности (ст. 8 DSA); меры, принимаемые InCloud добровольно, этот принцип не изменяют.
• Письмо, направленное на этот адрес, не заменяет форм уведомления, предписанных законом: для документов, требующих официального уведомления, необходимо использовать PEC.
• Адрес предназначен исключительно для органов власти: сообщения от иных отправителей остаются без ответа.
• InCloud вправе обновлять настоящую политику; действует редакция, опубликованная на этой странице, с датой, указанной в её начале. Юридическую силу имеет итальянский текст.