политика обработки персональных данных
Политика определяет порядок обработки персональных данных пользователей сервиса [НАЗВАНИЕ СЕРВИСА], предоставляемого через личный кабинет на сайте [АДРЕС САЙТА].
общие положения
(scope / operator / software service)1.1. Политика обработки персональных данных определяет порядок и условия обработки персональных данных пользователей сервиса [НАЗВАНИЕ СЕРВИСА], доступ к которому предоставляется через личный кабинет на сайте [АДРЕС САЙТА].
1.2. Оператором персональных данных является [полное наименование оператора], ОГРН [ОГРН], ИНН [ИНН], Запись в реестре операторов персональных данных: [номер и дата записи], адрес: [адрес], адрес электронной почты для обращений: [email для обращений по ПДн].
1.3. Политика применяется ко всем персональным данным, которые Оператор получает от пользователей при регистрации, использовании личного кабинета, оплате доступа, обращении в поддержку, использовании функций сервиса и взаимодействии с сайтом.
1.4. Понятия «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «автоматизированная обработка персональных данных», «распространение персональных данных», «предоставление персональных данных», «блокирование персональных данных», «уничтожение персональных данных» используются в значении, установленном Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
1.5. Использование сервиса возможно только при обработке персональных данных, необходимых для регистрации, идентификации пользователя в личном кабинете, исполнения договора, обеспечения безопасности и выполнения обязанностей Оператора.
какие данные обрабатываются
(data categories / account / logs / payments)2.1. Оператор обрабатывает только те персональные данные, которые необходимы для работы сервиса, исполнения договора с пользователем, связи с пользователем, обеспечения безопасности и выполнения требований закона.
данные аккаунта
Фамилия, имя, отчество при наличии, адрес электронной почты, номер телефона, логин, идентификатор пользователя, сведения о компании пользователя при указании таких сведений в личном кабинете.
данные для договора и оплаты
Сведения о выбранном тарифе, заказе, оплате, статусе подписки или доступа, реквизиты плательщика, сведения о чеках, счетах, актах и иных документах, если они применяются.
технические данные
IP-адрес, сведения о браузере, устройстве, операционной системе, файлах cookie, дата и время входа, история авторизаций, действия в личном кабинете, технические журналы и события безопасности.
данные обращений
Содержание запросов в поддержку, переписка с Оператором, вложения, сведения о проблеме, статус обращения, история коммуникаций.
2.2. Оператор не запрашивает специальные категории персональных данных, включая сведения о здоровье, интимной жизни, расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, если такие данные не требуются для работы сервиса и не предоставлены пользователем по собственной инициативе.
2.3. Оператор не обрабатывает биометрические персональные данные, если иное прямо не указано в отдельном документе или пользовательском сценарии сервиса.
цели и правовые основания
(purpose limitation / legal basis)3.1. Оператор обрабатывает персональные данные для конкретных, заранее определённых и законных целей. Обработка данных, несовместимая с такими целями, не допускается.
- регистрация
- Создание аккаунта, предоставление доступа к личному кабинету, идентификация пользователя и управление учётной записью. Правовое основание: договор с пользователем, согласие пользователя, законный интерес Оператора в обеспечении работы сервиса.
- исполнение договора
- Предоставление доступа к ПО, настройка тарифа, сопровождение использования сервиса, оформление документов, обработка оплаты и статуса доступа. Правовое основание: заключение и исполнение договора.
- поддержка
- Приём, обработка и выполнение обращений пользователя, диагностика ошибок, консультации по работе сервиса. Правовое основание: договор, обращение пользователя, законный интерес Оператора в поддержании качества сервиса.
- безопасность
- Защита аккаунта, предотвращение несанкционированного доступа, фиксация технических событий, расследование инцидентов, противодействие злоупотреблениям. Правовое основание: законный интерес Оператора, требования законодательства, договор.
- уведомления
- Направление сервисных сообщений о регистрации, доступе, изменении условий, технических работах, оплате, безопасности и иных событиях, связанных с использованием сервиса. Правовое основание: договор и законный интерес Оператора.
- маркетинг
- Направление информационных и рекламных сообщений о продуктах, услугах, обновлениях и мероприятиях Оператора. Правовое основание: согласие пользователя, если такое согласие требуется законом.
- аналитика
- Анализ работы сайта и сервиса, улучшение интерфейса, выявление ошибок, оценка востребованности функций. Правовое основание: согласие пользователя при использовании аналитических cookie, законный интерес Оператора в развитии сервиса.
- закон
- Выполнение обязанностей Оператора, установленных законодательством, включая бухгалтерский, налоговый и иной обязательный учёт, ответы на запросы уполномоченных органов. Правовое основание: требования законодательства Российской Федерации.
порядок и условия обработки
(operations / automated processing / access)4.1. Оператор обрабатывает персональные данные с использованием средств автоматизации и без использования таких средств.
4.2. В отношении персональных данных могут совершаться следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение, обновление, изменение, извлечение, использование, передача, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.
4.3. Персональные данные предоставляются пользователем при регистрации, заполнении профиля, оплате доступа, направлении обращения, использовании функций личного кабинета и в иных случаях взаимодействия с сервисом.
4.4. Оператор не принимает решений, порождающих юридические последствия для пользователя или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, если иное не предусмотрено отдельными условиями сервиса или законом.
4.5. Доступ к персональным данным предоставляется только тем работникам, подрядчикам и партнёрам Оператора, которым такие данные необходимы для выполнения своих функций и обязательств перед Оператором или пользователем.
передача данных третьим лицам
(processors / analytics / payments / hosting / support)5.1. Оператор может передавать персональные данные третьим лицам, если это необходимо для достижения целей обработки, исполнения договора с пользователем, работы сайта, оплаты, рассылок, аналитики, защиты прав Оператора или выполнения требований закона.
5.2. Передача осуществляется только в необходимом объёме. Если третье лицо обрабатывает персональные данные по поручению Оператора, оно обязано соблюдать конфиденциальность, не использовать данные в собственных целях и принимать необходимые меры защиты.
| Цель обработки | Третье лицо | Цель передачи | Адрес | Сведения о конфиденциальности |
|---|---|---|---|---|
| Сбор веб-аналитики | ООО «Яндекс» | Предоставление статистических данных через Яндекс.Метрику и анализ поведения пользователей на сайте. | 119021, г. Москва, ул. Льва Толстого, д. 16 | Политика конфиденциальности / сайт сервиса |
| CRM и рассылки | ООО «МБ Технологии» / Mindbox | Автоматизация рассылок, сегментация пользователей, учёт согласий и коммуникаций. | 125124, г. Москва, ул. Правды, д. 26, эт/пом 12 | Политика обработки персональных данных |
| Приём онлайн-платежей | ООО «КЛАУДПЭЙМЕНТС» / CloudPayments | Обработка платёжной информации и проведение транзакций. | 125212, г. Москва, Головинское шоссе, д. 5, к. 1, этаж 17, п. № 158 | Политика конфиденциальности |
| Хостинг сайта | АО «Селектел» / Selectel | Размещение сайта, хранение данных сайта и обеспечение технической доступности. | 196006, г. Санкт-Петербург, ул. Цветочная, д. 21, лит. А | Политика в отношении обработки и защиты персональных данных |
| Конструктор сайта и публикация страниц | Поставщик конструктора сайта Tilda Publishing | Размещение страниц сайта, обработка форм и техническая поддержка интерфейса. | Указать адрес фактически используемого поставщика | Политика конфиденциальности / условия обработки данных |
| Email-рассылки | Поставщик сервиса рассылок Unisender | Отправка email-сообщений, учёт подписок, отказов от рассылки и статистики доставки. | Указать адрес фактически используемого поставщика | Политика конфиденциальности / условия обработки данных |
| Онлайн-чат и поддержка | Поставщик сервиса онлайн-чата Jivo | Приём сообщений пользователей, консультации по сервису и сохранение истории обращений. | Указать адрес фактически используемого поставщика | Политика конфиденциальности / условия обработки данных |
5.3. Оператор также может передавать персональные данные государственным органам, судам, нотариусам, банкам, операторам фискальных данных и иным лицам, если такая передача необходима для выполнения требований закона, защиты прав Оператора или исполнения обязательств перед пользователем.
5.4. Оператор не осуществляет трансграничную передачу персональных данных без правового основания. Если такая передача необходима для работы сайта, сервиса, аналитических, платёжных, коммуникационных, облачных или иных технических сервисов, Оператор выполняет требования законодательства Российской Федерации о персональных данных до начала такой передачи.
хранение, локализация и уничтожение
(retention / localization / deletion schedule)6.1. При сборе персональных данных граждан Российской Федерации Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории Российской Федерации, если иное не предусмотрено законодательством Российской Федерации.
6.2. Персональные данные хранятся не дольше, чем этого требуют цели обработки, договор с пользователем, согласие пользователя или законодательство Российской Федерации.
| Категория данных | Цель хранения | Срок хранения | Момент начала срока | Порядок уничтожения |
|---|---|---|---|---|
| Данные аккаунта пользователя | Регистрация, идентификация пользователя, предоставление доступа к личному кабинету и управление учётной записью. | В течение срока действия аккаунта и 3 года после его удаления или прекращения договора, если более длительный срок не требуется по закону. | С даты удаления аккаунта, прекращения договора или последнего юридически значимого действия пользователя. | Удаление из активных систем либо обезличивание; резервные копии очищаются по внутреннему циклу перезаписи резервных копий. |
| Контактные данные | Связь с пользователем, направление сервисных уведомлений, обработка обращений, восстановление доступа. | В течение срока использования сервиса и 3 года после прекращения договора или последнего обращения пользователя. | С даты прекращения договора, удаления аккаунта или последнего обращения. | Удаление, обезличивание либо блокирование на период проверки законности дальнейшего хранения. |
| Данные договора, тарифа и подписки | Исполнение договора, подтверждение объёма оказанных услуг, расчёты с пользователем, защита прав Оператора. | В течение срока действия договора и 3 года после его прекращения, если более длительный срок не установлен законом или документами бухгалтерского и налогового учёта. | С даты прекращения договора или завершения соответствующего расчётного периода. | Удаление из операционных систем после истечения срока хранения; документы, подлежащие обязательному хранению, уничтожаются после истечения специальных сроков. |
| Платёжные и расчётные сведения | Приём оплаты, возвраты, подтверждение платежей, бухгалтерский и налоговый учёт. | В течение срока, установленного законодательством о бухгалтерском и налоговом учёте, но не менее срока обязательного хранения соответствующих документов. | С даты совершения операции, окончания налогового периода или формирования соответствующего документа. | Уничтожение после истечения обязательных сроков хранения, если отсутствует спор, проверка или иное законное основание для дальнейшего хранения. |
| Данные обращений в поддержку | Обработка обращений, консультации по сервису, подтверждение факта обращения, контроль качества поддержки. | В течение срока рассмотрения обращения и 3 года после его закрытия, если обращение связано с договором, оплатой, спором, безопасностью или качеством сервиса. | С даты закрытия обращения. | Удаление истории обращения или обезличивание содержания обращения после истечения срока хранения. |
| Технические журналы, логи авторизации и события безопасности | Обеспечение безопасности сервиса, расследование инцидентов, предотвращение несанкционированного доступа и злоупотреблений. | Обычно до 1 года с даты события, если более длительный срок не требуется для расследования инцидента, защиты прав Оператора или выполнения требований закона. | С даты фиксации технического события. | Автоматическое удаление, перезапись или обезличивание по истечении установленного срока хранения логов. |
| Cookie и данные веб-аналитики | Анализ работы сайта, улучшение интерфейса, оценка посещаемости, выявление технических ошибок. | В течение срока действия соответствующих cookie или до отзыва согласия пользователем, если обработка осуществляется на основании согласия. | С даты размещения cookie или получения аналитического события. | Удаление cookie пользователем в настройках браузера; прекращение аналитической обработки после отзыва согласия, если такое согласие требуется. |
| Согласия пользователя | Подтверждение факта получения согласия на обработку персональных данных, рекламные сообщения, cookie или иные действия. | В течение срока действия согласия и 3 года после его отзыва или прекращения обработки, если хранение необходимо для подтверждения правомерности действий Оператора. | С даты отзыва согласия или прекращения соответствующей обработки. | Удаление или архивное хранение в ограниченном доступе до истечения срока подтверждения правомерности обработки. |
| Данные для рекламных и информационных рассылок | Направление сообщений, учёт подписок, отказов от рассылки и статистики доставки. | До отзыва согласия, отказа от рассылки или прекращения соответствующей цели обработки. | С даты отзыва согласия, отказа от рассылки или прекращения рассылки. | Исключение из активной базы рассылки; сохранение минимальных сведений об отказе, если это необходимо, чтобы не направлять сообщения повторно. |
| Документы и сведения, необходимые для защиты прав Оператора | Претензионная работа, урегулирование споров, защита прав и законных интересов Оператора. | В течение срока исковой давности, а при наличии спора, проверки или разбирательства — до их окончательного завершения и исполнения принятого решения. | С даты нарушения, прекращения договора, возникновения спора или последнего юридически значимого события. | Удаление или архивирование после истечения срока защиты права и отсутствия иных оснований для хранения. |
6.3. Если пользователь отзывает согласие на обработку персональных данных, Оператор прекращает обработку данных, обрабатываемых на основании такого согласия, если отсутствует иное правовое основание для продолжения обработки.
6.4. Если цель обработки достигнута, срок хранения истёк или обработка стала неправомерной, Оператор прекращает обработку персональных данных и уничтожает их либо обеспечивает их уничтожение в порядке и сроки, предусмотренные законодательством Российской Федерации.
6.5. Если немедленное уничтожение персональных данных невозможно, Оператор блокирует такие данные и обеспечивает их уничтожение в установленный законом срок.
6.6. Уничтожение персональных данных может осуществляться путём удаления из информационных систем, стирания с материальных носителей, обезличивания, перезаписи резервных копий или иным способом, исключающим дальнейшее восстановление и использование персональных данных.
6.7. Оператор может продолжить хранение отдельных персональных данных после удаления аккаунта или отзыва согласия, если такое хранение необходимо для исполнения закона, бухгалтерского или налогового учёта, рассмотрения претензий, защиты прав Оператора или подтверждения факта надлежащего исполнения обязательств.
права пользователя
(subject rights / access / correction / withdrawal)7.1. Пользователь как субъект персональных данных вправе получать информацию об обработке своих персональных данных и контролировать их актуальность, состав и правомерность обработки.
7.2. Пользователь вправе обратиться к Оператору и запросить сведения, касающиеся обработки его персональных данных, включая:
- подтверждение факта обработки персональных данных Оператором;
- правовые основания и цели обработки персональных данных;
- состав обрабатываемых персональных данных и источник их получения;
- сроки обработки и хранения персональных данных;
- сведения о лицах, которым персональные данные были раскрыты или могут быть раскрыты;
- информацию о способах обработки персональных данных;
- иные сведения, предусмотренные законодательством Российской Федерации о персональных данных.
7.3. Пользователь вправе требовать от Оператора уточнения, блокирования или уничтожения персональных данных, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
7.4. Пользователь вправе отозвать согласие на обработку персональных данных, если обработка осуществляется на основании согласия. Отзыв согласия не влияет на законность обработки, которая была осуществлена до момента получения отзыва.
7.5. После получения отзыва согласия Оператор прекращает обработку персональных данных, обрабатываемых на основании такого согласия, если отсутствует иное правовое основание для продолжения обработки. Оператор может продолжить обработку или хранение отдельных данных, если это необходимо для исполнения договора, выполнения требований закона, защиты прав Оператора, рассмотрения претензий, ведения бухгалтерского или налогового учёта.
7.6. Пользователь вправе отказаться от получения рекламных и информационных сообщений, направляемых на основании согласия, по ссылке для отписки в сообщении, через настройки личного кабинета, если такая возможность предусмотрена сервисом, либо путём направления обращения Оператору.
7.7. Пользователь вправе самостоятельно изменить часть персональных данных в личном кабинете, если такая функция доступна в сервисе. Если самостоятельное изменение невозможно, пользователь может направить Оператору обращение об уточнении данных.
7.8. Для реализации прав пользователь может направить обращение Оператору по адресу электронной почты, указанному в Политике. В обращении рекомендуется указать сведения, позволяющие Оператору идентифицировать пользователя и связать обращение с конкретным аккаунтом или взаимодействием с сервисом.
7.9. Оператор рассматривает обращения пользователей и предоставляет ответы в сроки, предусмотренные законодательством Российской Федерации о персональных данных. Если для рассмотрения обращения требуется дополнительная информация, Оператор вправе запросить её у пользователя.
7.10. Пользователь вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.
безопасность персональных данных
(security measures / access control / confidentiality)8.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
8.2. Состав применяемых мер определяется Оператором с учётом характера обрабатываемых персональных данных, целей обработки, используемых информационных систем, актуальных угроз безопасности персональных данных и требований законодательства Российской Федерации.
| Группа мер | Какие меры применяются | Для чего применяются |
|---|---|---|
| Правовые меры | Принятие локальных документов по вопросам обработки и защиты персональных данных; определение целей, состава данных, сроков обработки и порядка доступа; оформление согласий, поручений на обработку персональных данных и обязательств о конфиденциальности, когда это необходимо. | Чтобы обработка персональных данных имела правовое основание, была документально оформлена и соответствовала заявленным целям. |
| Организация обработки | Назначение лица, ответственного за организацию обработки персональных данных, если это требуется законом; распределение ролей и прав доступа; допуск к персональным данным только тех работников и подрядчиков, которым такие данные необходимы для выполнения задач. | Чтобы исключить неоправданный доступ к персональным данным и закрепить ответственность за соблюдение правил обработки. |
| Управление доступом | Использование индивидуальных учётных записей, паролей и иных средств авторизации; разграничение прав доступа; пересмотр прав доступа при изменении функций работника, подрядчика или при прекращении взаимодействия с ним. | Чтобы персональные данные были доступны только уполномоченным лицам и только в объёме, необходимом для их задач. |
| Конфиденциальность | Обязательство работников, подрядчиков и иных лиц, получающих доступ к персональным данным, соблюдать конфиденциальность; запрет использовать персональные данные в личных целях или передавать их третьим лицам без правового основания. | Чтобы снизить риск неправомерного раскрытия, копирования или использования персональных данных. |
| Техническая защита | Применение средств защиты информации, контроля доступа, защиты учётных записей, журналирования событий, резервного копирования, антивирусной защиты и иных технических мер с учётом используемой инфраструктуры и актуальных угроз. | Чтобы обеспечить устойчивую работу сервиса, предотвратить несанкционированный доступ и снизить риск утраты, изменения или повреждения персональных данных. |
| Журналирование и контроль | Фиксация технических событий, действий в информационных системах и событий безопасности в объёме, необходимом для контроля доступа, диагностики ошибок, расследования инцидентов и предотвращения злоупотреблений. | Чтобы выявлять подозрительную активность, подтверждать действия в системе и анализировать причины технических или организационных нарушений. |
| Работа с подрядчиками | Проверка необходимости передачи персональных данных подрядчикам; передача данных только в необходимом объёме; включение в договоры условий о конфиденциальности, целях обработки, мерах защиты и запрете использовать данные в собственных целях. | Чтобы лица, обрабатывающие данные по поручению Оператора, соблюдали требования к безопасности и не выходили за пределы порученной обработки. |
| Инциденты безопасности | Выявление, регистрация, анализ и устранение последствий инцидентов; ограничение возможного вреда; восстановление доступа к данным при наличии технической возможности; выполнение обязанностей по уведомлению уполномоченных органов, если такие обязанности возникают по закону. | Чтобы своевременно реагировать на нарушения безопасности персональных данных и снижать последствия таких нарушений. |
| Актуализация мер | Периодическая оценка применяемых мер, обновление внутренних правил, прав доступа и технических настроек с учётом изменения сервиса, состава данных, способов обработки и выявленных рисков. | Чтобы меры защиты оставались применимыми к фактической работе сервиса и не были формальными. |
8.3. Оператор не раскрывает публично детальные сведения о настройках, архитектуре, средствах защиты, сценариях реагирования и иных технических параметрах безопасности, если раскрытие таких сведений может снизить уровень защищённости персональных данных или информационных систем.
8.4. Пользователь обязан самостоятельно обеспечивать сохранность логина, пароля, кодов доступа и иных средств авторизации в личном кабинете, не передавать их третьим лицам и незамедлительно сообщать Оператору о подозрении на несанкционированный доступ к аккаунту.
8.5. Действия, совершённые с использованием учётной записи пользователя, могут считаться действиями пользователя, если иное не доказано.
обращения субъектов персональных данных
(requests / response channel / identification)9.1. Пользователь может направить Оператору обращение по вопросам обработки персональных данных по адресу электронной почты: [email для обращений по ПДн].
9.2. В обращении рекомендуется указать фамилию, имя, отчество при наличии, контактные данные для ответа, суть обращения и сведения, позволяющие Оператору идентифицировать пользователя.
9.3. Оператор вправе запросить дополнительную информацию, если без неё невозможно подтвердить личность заявителя или рассмотреть обращение по существу.
9.4. Оператор рассматривает обращения субъектов персональных данных и предоставляет ответы в сроки, предусмотренные законодательством Российской Федерации.
изменение политики
(publication / updates / effective date)10.1. Оператор вправе изменять Политику при изменении законодательства, функциональности сервиса, состава обрабатываемых персональных данных, целей обработки, применяемых технологий или внутренних процессов Оператора.
10.2. Актуальная редакция Политики публикуется на сайте по адресу: [ссылка на страницу политики].
10.3. Новая редакция Политики действует с даты её опубликования на сайте Оператора, если иной срок вступления в силу не указан в самой Политике.
