Политика обработки персональных данных

1. Сведения об операторе

1. 1.1.Оператор — лицо, указанное в разделе «Реквизиты» настоящего документа.
2. 1.2.Обработка персональных данных осуществляется на территории Российской Федерации с использованием баз данных, расположенных в Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона № 152-ФЗ.
3. 1.3.Вопросы, связанные с обработкой персональных данных, направляются по адресу электронной почты Оператора, указанному в разделе «Реквизиты».

2. Категории субъектов и состав обрабатываемых данных

Оператор придерживается принципа минимизации: обрабатываются только те данные, без которых сервис не может работать.

1. 2.1.Работники и представители клиентов (пользователи учётных записей): фамилия, имя, отчество; адрес электронной почты; номер телефона; должность и роль в организации; сведения об организации, которую представляет субъект; данные аутентификации (хеш пароля, сведения о двухфакторной аутентификации); сведения о сессиях и устройствах (IP-адрес, тип устройства, версия приложения, дата и время входа); журнал действий в сервисе.
2. 2.2.Лица, обращающиеся к Оператору (заявки, обращения в поддержку, переписка): фамилия и имя; адрес электронной почты; номер телефона; содержание обращения; сведения об организации.
3. 2.3.Посетители Сайта: IP-адрес; сведения о браузере и устройстве; данные файлов cookie и аналогичных технологий; сведения о посещённых страницах.
4. 2.4.Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни, судимости) и биометрические персональные данные.
5. 2.5.Оператор не осуществляет обработку персональных данных несовершеннолетних и не предназначает сервис для их использования.

3. Цели обработки

1. 3.1.Предоставление доступа к сервису, идентификация и аутентификация пользователей, разграничение прав доступа.
2. 3.2.Исполнение договора с клиентом, расчёты, выставление и учёт документов.
3. 3.3.Обеспечение безопасности: выявление и предотвращение несанкционированного доступа, расследование инцидентов, ведение журналов действий.
4. 3.4.Информирование о работе сервиса: технические уведомления, изменения условий, сведения о состоянии учётной записи. Такие сообщения относятся к исполнению договора и направляются независимо от согласия на рекламу.
5. 3.5.Обработка обращений и оказание технической поддержки.
6. 3.6.Улучшение сервиса на основании обезличенных и агрегированных сведений.
7. 3.7.Направление рекламных и информационных сообщений — только при наличии отдельного согласия субъекта, которое может быть отозвано в любой момент.
8. 3.8.Исполнение обязанностей, возложенных на Оператора законодательством, включая бухгалтерский и налоговый учёт.

4. Правовые основания обработки

1. 4.1.Договор, стороной которого либо выгодоприобретателем по которому является субъект персональных данных, — п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ.
2. 4.2.Согласие субъекта персональных данных — п. 1 ч. 1 ст. 6 Федерального закона № 152-ФЗ (в частности, для рекламных сообщений и необязательных файлов cookie).
3. 4.3.Осуществление прав и законных интересов Оператора, не нарушающее прав субъекта, — п. 7 ч. 1 ст. 6 Федерального закона № 152-ФЗ (в частности, обеспечение безопасности сервиса и ведение журналов действий).
4. 4.4.Исполнение обязанностей, возложенных на Оператора законодательством, — п. 2 ч. 1 ст. 6 Федерального закона № 152-ФЗ.
5. 4.5.Федеральный закон «Об информации, информационных технологиях и о защите информации», Гражданский кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Федеральный закон «О бухгалтерском учёте».

5. Порядок и способы обработки

1. 5.1.Обработка осуществляется смешанным способом — с использованием средств автоматизации и без них — и включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение.
2. 5.2.Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки персональных данных.
3. 5.3.Данные каждого клиента хранятся в логически изолированном пространстве; разграничение доступа обеспечивается на уровне системы управления базой данных, а не только прикладного кода.
4. 5.4.Доступ работников Оператора к данным клиента предоставляется по принципу наименьших привилегий, фиксируется в журнале и осуществляется с согласия клиента, за исключением случаев устранения аварий, когда согласие получается в кратчайший разумный срок после доступа.

6. Передача данных третьим лицам

1. 6.1.Оператор не продаёт персональные данные и не передаёт их третьим лицам для самостоятельных целей этих лиц.
2. 6.2.Персональные данные могут передаваться привлечённым Оператором лицам в объёме, необходимом для работы сервиса: поставщикам инфраструктуры и хостинга; операторам связи и сервисам доставки сообщений; платёжным сервисам; поставщикам средств мониторинга и защиты. С такими лицами заключаются соглашения, обязывающие соблюдать конфиденциальность и требования законодательства о персональных данных.
3. 6.3.Персональные данные предоставляются государственным органам по основаниям и в порядке, установленным законом.
4. 6.4.Трансграничная передача персональных данных не осуществляется. Если такая передача станет необходимой, Оператор обеспечит соблюдение требований ст. 12 Федерального закона № 152-ФЗ, включая предварительное уведомление уполномоченного органа.

7. Сроки обработки и хранения

1. 7.1.Персональные данные обрабатываются в течение срока действия договора с клиентом и 30 (тридцати) календарных дней после его прекращения, если иной срок не установлен законом или согласием субъекта. По истечении этого срока данные удаляются автоматически; из резервных копий они исчезают по мере их обновления — не позднее 14 (четырнадцати) календарных дней после удаления.
2. 7.2.Данные бухгалтерского и налогового учёта хранятся в сроки, установленные законодательством, — не менее 5 (пяти) лет.
3. 7.3.Журналы событий безопасности и действий пользователей хранятся не менее 1 (одного) года — этот срок необходим для расследования инцидентов и защиты прав как Оператора, так и субъектов.
4. 7.4.Данные, обрабатываемые на основании согласия, обрабатываются до отзыва согласия.
5. 7.5.По достижении целей обработки, при отзыве согласия либо при выявлении неправомерной обработки данные подлежат уничтожению в сроки, установленные ст. 21 Федерального закона № 152-ФЗ.

8. Меры защиты

Оператор принимает меры, предусмотренные ст. 18.1 и 19 Федерального закона № 152-ФЗ, соразмерные актуальным угрозам.

1. 8.1.Назначение лица, ответственного за организацию обработки персональных данных.
2. 8.2.Издание и применение внутренних документов, определяющих порядок обработки и защиты данных, и ознакомление с ними работников.
3. 8.3.Определение угроз безопасности и применение организационных и технических мер по их нейтрализации.
4. 8.4.Разграничение доступа, парольная защита, двухфакторная аутентификация для доступа к административным функциям.
5. 8.5.Шифрование каналов связи (TLS) и шифрование учётных данных сторонних систем при хранении.
6. 8.6.Ведение журнала действий пользователей и журнала доступов работников Оператора к данным клиентов.
7. 8.7.Резервное копирование с регулярной проверкой возможности восстановления.
8. 8.8.Контроль за принимаемыми мерами и оценка вреда, который может быть причинён субъектам.

9. Права субъекта персональных данных

Субъект вправе реализовать перечисленные права, направив запрос Оператору по адресу электронной почты из раздела «Реквизиты».

1. 9.1.Получать сведения об обработке своих персональных данных в объёме ч. 7 ст. 14 Федерального закона № 152-ФЗ.
2. 9.2.Требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны, получены неправомерно или не являются необходимыми для заявленной цели.
3. 9.3.Отозвать согласие на обработку персональных данных, если обработка осуществляется на основании согласия.
4. 9.4.Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
5. 9.5.Запрос должен содержать сведения, позволяющие идентифицировать субъекта, и подтверждение его участия в отношениях с Оператором. Ответ предоставляется в срок, не превышающий 10 (десяти) рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.
6. 9.6.Если субъект является покупателем или контрагентом клиента Оператора, запрос направляется клиенту как оператору этих данных. Оператор сервиса перенаправляет такие запросы клиенту и содействует ему в их исполнении.

10. Файлы cookie

1. 10.1.Оператор использует технически необходимые файлы cookie, без которых невозможны вход в учётную запись и сохранение состояния сессии. Их использование основано на исполнении договора и не требует отдельного согласия.
2. 10.2.Аналитические и иные необязательные файлы cookie применяются только при наличии согласия посетителя Сайта.
3. 10.3.Посетитель вправе ограничить использование файлов cookie средствами браузера; при отключении технически необходимых файлов работа сервиса невозможна.

11. Изменение Политики

1. 11.1.Оператор вправе изменять настоящую Политику. Новая редакция вступает в силу с момента публикации на Сайте, если иное не указано в её тексте.
2. 11.2.Действующая редакция всегда доступна на Сайте. Дата редакции указана в начале документа.
3. 11.3.При изменениях, существенно затрагивающих права субъектов, Оператор дополнительно уведомляет клиентов способами, предусмотренными договором.