Какие данные обрабатывает модуль и как это оформить

Модуль защиты работает с данными посетителей вашего сайта, а значит, вопрос «а что вы про них собираете» рано или поздно зададут — юрист, клиент или Роскомнадзор. Вот полный ответ.

Что передаётся

На каждый запрос модуль отправляет нам:

• IP-адрес посетителя;
• строку User-Agent и технические заголовки запроса: Accept, Accept-Language, Accept-Encoding, Sec-Fetch-*, Sec-CH-UA, Priority;
• имена всех заголовков запроса в том порядке, в каком их прислал браузер, — только имена, без значений. Это помогает отличать программу от браузера и ничего не говорит о человеке;
• признак «фоновый запрос страницы» — без самого значения заголовка X-Requested-With, в котором бывает имя приложения;
• метод запроса, путь страницы, строку запроса и адрес перехода;
• число запросов посетителя, на которые модуль ответил из своего кэша, — только если в настройках сайта включено ограничение частоты;
• если подключён скрипт — обезличенные признаки браузера: размер экрана, часовой пояс, число языков, хэш отрисовки canvas и WebGL, признаки автоматизации. Сами картинки, содержимое страниц и то, что человек вводит в формы, не передаются. Из адреса страницы скрипт присылает только рекламные метки (yclid, gclid, utm_source, utm_medium) и имя рекламной сети, если посетитель пришёл с неё.

Чего мы не получаем никогда: имён, телефонов, почты, содержимого форм, cookie вашего сайта, данных из личных кабинетов. Модуль срабатывает до того, как ваш сайт прочитает запрос. В теле отправки формы он смотрит только на служебное поле-ловушку, которое добавляет скрипт BotBan, и сообщает нам одно: заполнено оно или пусто. Если отправку нужно проверить, копию формы для повтора модуль собирает у вас на сервере и отдаёт в браузер того же посетителя — к нам она не попадает.

Сколько хранится

Сырой журнал визитов — 30 дней, потом удаляется автоматически. Сводная статистика по дням (сколько было визитов и решений, без адресов) хранится, пока сайт под мониторингом. Если мониторинг остановлен (бесплатная неделя наблюдения закончилась или тариф не продлён), через 7 дней удаляется вся история, включая сводную.

Кто оператор

По закону № 152-ФЗ оператор данных ваших посетителей — вы. Мы обрабатываем их по вашему поручению: это оформлено разделом 6 пользовательского соглашения, а состав данных и меры защиты описаны в политике конфиденциальности.

От вас нужно одно: упомянуть нас в своей политике. Подойдёт такая формулировка:

Для защиты сайта от автоматического трафика используется сервис BotBan (botban.ru). Сервису передаются IP-адрес, технические заголовки запроса и обезличенные признаки браузера посетителя; данные обрабатываются по поручению владельца сайта исключительно для отличия автоматических запросов от обычных и хранятся не дольше 30 дней.

Cookie

Модуль может выставить cookie bb_pass на сутки, а адресам из сетей хостингов — на 30 минут. Она означает, что браузер прошёл проверку, и содержит только код проверки со сроком действия; скриптам страницы она недоступна. Перед этим страница проверки не дольше чем на 15 минут ставит bb_pow — число, которым браузер решил задачу проверки; модуль сверяет его и сразу удаляет. После кнопки «Я человек» на странице блокировки скрипт на минуту ставит bb_recheck — по ней модуль спрашивает решение заново. Все три cookie ставятся на домене вашего сайта; сам скрипт защиты и модуль с нашего сервера загружаются без cookie. Если у вас есть уведомление о cookie, добавьте их в список технически необходимых: согласия на них не требуется, без bb_pass защита работать не сможет.

Общая репутация

Единственный случай, когда данные разных сайтов соприкасаются, — репутация IP-адреса. Если адрес массово делал автоматические запросы на одном сайте, это учитывается при защите других. Персональных данных здесь нет — только адрес и факт автоматических запросов, — но если вам спокойнее без этого, выключите «общую репутацию» в настройках сайта.

Если посетитель жалуется

Решение о блокировке принимают ваши настройки, и снять его можете вы: найдите визит в журнале, нажмите «Это не бот» — адрес попадёт в белый список. Если человек написал нам, мы передадим обращение вам.