Политика обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных физических лиц (далее — «субъекты», «Пользователи») оператором сервиса «СВОД.ДОК» (далее — «Сервис») и составлена во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «№ 152-ФЗ»).

1.2. Оператор персональных данных (далее — «Оператор»): ИП Романько Андрей Юрьевич, ОГРНИП 325169000290260, ИНН 165127382600, адрес Российская Федерация, Республика Татарстан, г. Нижнекамск, эл. почта support@svoddoc.ru. Контакт по вопросам обработки персональных данных — support@svoddoc.ru.

1.3. Политика действует в отношении всех персональных данных, которые Оператор получает и обрабатывает в связи с предоставлением доступа к Сервису и сопутствующими отношениями (регистрация, оплата, поддержка, информирование).

1.4. Политика разработана в соответствии с Конституцией РФ, № 152-ФЗ, иными нормативными правовыми актами в области персональных данных, включая нормативные акты Роскомнадзора и ФСТЭК России.

1.5. Согласие — отдельным документом. В случаях, когда основанием обработки является согласие субъекта, такое согласие оформляется отдельно от иных документов (соглашений, оферт), является конкретным, предметным, информированным, сознательным и однозначным.

1.6. Действующая редакция Политики постоянно доступна по адресу svoddoc.ru/privacy. Оператор вправе вносить изменения в Политику; новая редакция вступает в силу с момента публикации, если иное не указано.

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.

2.2. Обработка персональных данных — любое действие (операция) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.3. Оператор — лицо, организующее и (или) осуществляющее обработку персональных данных и определяющее цели и состав обрабатываемых данных.

2.4. Обработка по поручению — обработка персональных данных лицом, действующим по поручению другого оператора на основании договора (поручения) в соответствии с ч. 3 ст. 6 № 152-ФЗ.

2.5. Иные понятия используются в значении, определённом № 152-ФЗ.

3.1. Пользователи Сервиса (представители бизнеса, сотрудники Пользователя): фамилия, имя, отчество; адрес электронной почты; номер телефона; должность/роль в организации; логин и иные идентификаторы учётной записи; сведения о действиях в Сервисе (журналы, IP-адрес, данные устройства и браузера); реквизиты для оформления доступа и оплаты.

3.2. Лица, обращающиеся к Оператору (заявки, поддержка, обратная связь): имя, контактные данные, содержание обращения.

3.3. Персональные данные клиентов и иных лиц Пользователя, вносимые Пользователем в Сервис (имена, телефоны, иные данные о заказах) — обрабатываются Оператором по поручению Пользователя. В отношении этих данных оператором является Пользователь.

3.4. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные. Оператор не запрашивает их предоставление и просит субъектов не сообщать такие данные.

3.5. Данные несовершеннолетних. Сервис не предназначен для использования лицами младше 18 лет в качестве самостоятельных Пользователей. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних.

4.1. Оператор обрабатывает персональные данные в следующих целях:

• (а) предоставление доступа к Сервису и его функциональности, идентификация и аутентификация Пользователя;
• (б) заключение и исполнение договора ( Пользовательского соглашения), включая расчёты и документооборот;
• (в) оказание технической поддержки, обработка обращений и обратной связи;
• (г) обеспечение работоспособности, безопасности и защиты Сервиса, предотвращение мошенничества и нарушений;
• (д) выполнение требований законодательства (бухгалтерский и налоговый учёт, ответы на законные запросы органов);
• (е) информирование о работе Сервиса, изменениях, технических и сервисных уведомлениях;
• (ж) с отдельного согласия — направление рекламных и маркетинговых сообщений (ст. 18 Федерального закона «О рекламе» № 38-ФЗ).

4.2. Обработка ограничивается достижением заявленных целей. Обработка, несовместимая с целями сбора, не допускается.

5.1. Правовыми основаниями обработки являются: № 152-ФЗ и иные нормативные акты в области защиты данных; учредительные и регистрационные документы Оператора; договоры с субъектами ( Пользовательское соглашение); согласия субъектов на обработку персональных данных; иные основания, предусмотренные ст. 6 № 152-ФЗ (в том числе исполнение договора, стороной которого является субъект, и достижение законных интересов Оператора при соблюдении прав субъекта).

5.2. Обработка персональных данных по поручению Пользователя (Раздел 11) осуществляется на основании договора (поручения) при наличии у Пользователя законного основания обработки.

6.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором.

6.2. По достижении целей либо в случае отзыва согласия (при отсутствии иных оснований) персональные данные подлежат уничтожению или обезличиванию в сроки, установленные № 152-ФЗ.

6.3. Ориентировочные сроки хранения:

6.4. После прекращения обработки данные удаляются из рабочих систем; из резервных копий — по мере их штатной перезаписи.

7.1. Обработка осуществляется с использованием средств автоматизации и без них, с соблюдением требований № 152-ФЗ и принятых в их исполнение нормативных актов.

7.2. Локализация баз данных. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 № 152-ФЗ). Размещение инфраструктуры Сервиса осуществляется в дата-центрах на территории РФ (Yandex Cloud, Российская Федерация).

7.3. Меры по обеспечению безопасности (ст. 18.1, 19 № 152-ФЗ):

• назначение лица, ответственного за организацию обработки;
• издание внутренних документов и регламентов;
• ограничение и разграничение доступа к данным по принципу минимальных привилегий;
• межтенантная изоляция данных разных Пользователей;
• шифрование каналов связи (HTTPS/TLS) и шифрование чувствительных данных при хранении;
• парольная политика и многофакторная аутентификация;
• ведение журналов доступа и действий (аудит);
• резервное копирование и контроль восстановления;
• применение средств защиты информации;
• оценка вреда субъектам и определение угроз;
• контроль и оценка эффективности принимаемых мер.

7.4. Доступ к персональным данным предоставляется только работникам и привлечённым лицам, которым он необходим для выполнения обязанностей, под обязательства о конфиденциальности.

7А.1. При выявлении инцидента, связанного с неправомерной или случайной передачей (предоставлением, распространением, доступом) персональных данных, повлёкшей нарушение прав субъектов, Оператор:

• (а) уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о произошедшем инциденте в течение 24 часов с момента его выявления — о предполагаемых причинах, предполагаемом вреде, принятых мерах и контактном лице;
• (б) в течение 72 часов уведомляет о результатах внутреннего расследования и сведениях о лицах, действия которых стали причиной инцидента (ч. 3.1 ст. 21 № 152-ФЗ);
• (в) принимает меры по устранению последствий, локализации инцидента и предотвращению повторения;
• (г) при необходимости информирует затронутых субъектов и Пользователей (если инцидент затрагивает данные, обрабатываемые по поручению).

7А.2. Оператор ведёт учёт инцидентов и взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) в установленных законом случаях.

7Б.1. Решения на основании исключительно автоматизированной обработки. Оператор не принимает в отношении субъектов решений, порождающих юридические последствия или иным образом существенно затрагивающих их права, на основании исключительно автоматизированной обработки персональных данных, без согласия субъекта (ст. 16 № 152-ФЗ). Расчёты и подсказки внутри Сервиса носят вспомогательный характер и не являются такими решениями.

7Б.2. Несовершеннолетние. Если Оператору станет известно, что получены персональные данные несовершеннолетнего без согласия родителей (законных представителей) в требуемых случаях, такие данные будут удалены.

7Б.3. Ответственное лицо. Лицом, ответственным за организацию обработки персональных данных у Оператора (ст. 22.1 № 152-ФЗ), является сам Индивидуальный предприниматель ИП Романько Андрей Юрьевич (либо назначенное им лицо), контакт: support@svoddoc.ru.

8.1. По общему правилу Оператор не осуществляет трансграничную передачу персональных данных. Данные обрабатываются и хранятся на территории РФ.

8.2. В случае возникновения необходимости трансграничной передачи Оператор предварительно уведомляет Роскомнадзор и соблюдает требования ст. 12 № 152-ФЗ, обеспечивая надлежащую защиту прав субъектов.

9.1. Сервис использует файлы cookie и аналогичные технологии для работы и обеспечения безопасности, сохранения сессии и пользовательских настроек, а также для сбора обезличенной статистики посещений.

9.2. Используемые категории:

9.3. Для веб-аналитики может использоваться Яндекс Метрика с обезличиванием данных. Пользователь может ограничить cookie настройками браузера; отключение строго необходимых cookie может сделать работу Сервиса невозможной.

10.1. Оператор не продаёт и не передаёт персональные данные третьим лицам, кроме случаев, предусмотренных законом или с согласия субъекта, а также случаев привлечения подрядчиков для обеспечения работы Сервиса.

10.2. Для функционирования Сервиса Оператор привлекает подрядчиков (обработчиков), действующих по его поручению с соблюдением требований № 152-ФЗ и обязательств о конфиденциальности:

10.3. Привлечение подрядчиков осуществляется на основании договоров, обязывающих их соблюдать конфиденциальность и требования к защите персональных данных. Перечень привлекаемых лиц может уточняться; актуальные сведения предоставляются по запросу.

11.1. Внося в Сервис персональные данные своих клиентов, контрагентов, сотрудников и иных физических лиц, Пользователь является оператором этих данных и самостоятельно определяет цели и состав обработки.

11.2. Оператор Сервиса обрабатывает такие данные исключительно по поручению Пользователя в целях обеспечения работы Сервиса (ч. 3 ст. 6 № 152-ФЗ), не определяет цели их обработки и не использует их в собственных целях.

11.3. Условия обработки по поручению (предмет, перечень действий, цели, требования к защите, сроки, порядок возврата/удаления) определяются Поручением на обработку персональных данных, являющимся частью договорных отношений с Пользователем.

11.4. Пользователь самостоятельно обеспечивает наличие законных оснований обработки (включая согласия субъектов) и отвечает перед субъектами и контролирующими органами за их соблюдение. Оператор Сервиса не отвечает за отсутствие у Пользователя необходимых оснований.

12.1. Субъект имеет право:

• получать информацию, касающуюся обработки его персональных данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не являются необходимыми;
• отозвать согласие на обработку;
• обжаловать действия Оператора в Роскомнадзор или в суд;
• на защиту своих прав и законных интересов.

12.2. Для реализации прав субъект направляет запрос Оператору по адресу support@svoddoc.ru или почтовым адресом Оператора. Запрос должен содержать сведения, позволяющие идентифицировать субъекта, и подтверждение его участия в отношениях с Оператором (либо иное основание), а также подпись субъекта или его представителя.

12.3. Сроки рассмотрения. Оператор предоставляет ответ или совершает требуемые действия в течение 10 рабочих дней с даты получения запроса. Этот срок может быть продлён, но не более чем на 5 рабочих дней, с уведомлением субъекта о причинах продления (ст. 14, 20, 21 № 152-ФЗ).

12.4. Отзыв согласия. Субъект вправе в любой момент отозвать согласие, направив уведомление Оператору. После отзыва Оператор прекращает обработку и уничтожает данные в установленные законом сроки, если отсутствуют иные правовые основания для продолжения обработки.

12.5. Если субъект является клиентом Пользователя (его данные внесены Пользователем), для реализации прав ему следует обращаться к соответствующему Пользователю как к оператору; Оператор Сервиса при необходимости оказывает Пользователю техническое содействие.

13.1. Оператор обеспечивает актуальность данных, их уточнение, блокирование и уничтожение в установленных законом случаях.

13.2. Оператор отвечает на обращения и запросы субъектов, а также запросы уполномоченного органа в сроки и порядке, установленные № 152-ФЗ.

14.1. Настоящая Политика является общедоступным документом и подлежит размещению на сайте Сервиса.

14.2. К Политике и отношениям, связанным с обработкой персональных данных, применяется законодательство Российской Федерации.

14.3. Оператор вправе изменять Политику; изменения вступают в силу с момента публикации новой редакции, если иное не указано. Существенные изменения доводятся до Пользователей дополнительно.

14.4. По вопросам обработки персональных данных: support@svoddoc.ru, Российская Федерация, Республика Татарстан, г. Нижнекамск.

Оформляется отдельным документом при регистрации (галочка-подтверждение со ссылкой на текст согласия). Формулировка — образец.

Текст баннера на сайте Сервиса.

Образец, который Пользователь (как оператор) даёт подписывать своим клиентам. Оператор Сервиса предоставляет образец для удобства; ответственность за его применение несёт Пользователь.

Заключается между Оператором Сервиса (Обработчик) и Пользователем (Оператор данных). Может быть частью Пользовательского соглашения или отдельным документом. Ниже — обязательные условия по ч. 3 ст. 6 № 152-ФЗ.

Д.1. Стороны и роли. Пользователь — «Оператор» персональных данных; Оператор Сервиса — «Обработчик», действующий по поручению Оператора.

Д.2. Предмет. Обработчик по поручению Оператора обрабатывает персональные данные субъектов, вносимых Оператором в Сервис, исключительно в целях обеспечения функционирования Сервиса.

Д.3. Перечень действий. Сбор (в части приёма от Оператора), запись, систематизация, накопление, хранение, уточнение, извлечение, использование (для предоставления функциональности), блокирование, удаление, уничтожение, обезличивание — с использованием средств автоматизации.

Д.4. Цели. Хранение и предоставление доступа к данным в рамках Сервиса; обеспечение безопасности и резервного копирования. Обработчик не определяет иные цели и не использует данные в собственных целях.

Д.5. Категории данных и субъектов. Определяются Оператором; как правило — имена, телефоны, сведения о заказах клиентов и контрагентов Оператора.

Д.6. Обязанность конфиденциальности. Обработчик и его работники обязаны соблюдать конфиденциальность и не раскрывать данные третьим лицам без поручения Оператора, кроме случаев, предусмотренных законом.

Д.7. Требования к защите (ст. 18.1, 19 № 152-ФЗ). Обработчик принимает правовые, организационные и технические меры защиты: разграничение доступа, шифрование каналов и чувствительных данных, межтенантная изоляция, журналирование, резервное копирование, парольная политика и MFA, оценка угроз и эффективности мер.

Д.8. Локализация. Обработка данных граждан РФ — с использованием баз данных на территории РФ (ч. 5 ст. 18 № 152-ФЗ).

Д.9. Привлечение третьих лиц. Обработчик вправе привлекать субподрядчиков (инфраструктура, рассылки, фискализация) с соблюдением требований к защите и конфиденциальности; по запросу предоставляет сведения о привлекаемых лицах.

Д.10. Содействие Оператору. Обработчик оказывает Оператору разумное техническое содействие в ответах на запросы субъектов и уполномоченного органа, в уточнении, блокировании и удалении данных.

Д.11. Инциденты. Об инцидентах безопасности, затрагивающих данные Оператора, Обработчик уведомляет Оператора без неоправданной задержки и содействует исполнению обязанностей по ст. 21 № 152-ФЗ (уведомления 24/72 часа).

Д.12. Возврат и удаление. По прекращении поручения (расторжении договора) Обработчик по указанию Оператора возвращает и (или) удаляет персональные данные и их копии в установленные сроки, кроме случаев, когда хранение требуется законом. Обработчик предоставляет Оператору возможность выгрузки данных до удаления.

Д.13. Ответственность. Оператор отвечает перед субъектами за наличие законных оснований обработки; Обработчик отвечает перед Оператором за соблюдение условий поручения и требований к защите (ч. 5 ст. 6 № 152-ФЗ: ответственность перед субъектом несёт Оператор; Обработчик отвечает перед Оператором).