Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок и условия обработки персональных данных индивидуального предпринимателя Кожевникова Егора Павловича (ОГРНИП 323210000063990, ИНН 212409519425, г. Новочебоксарск, Чувашская Республика, далее — «Оператор») и принята во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон»).

1.2. Политика применяется к персональным данным, которые Оператор получает через сайт sredapass.ru и его поддомены, личный кабинет, служебный Telegram-бот команды, электронную почту, при исполнении договоров и при подготовке деловых предложений. Политика опубликована по адресу sredapass.ru/privacy; предыдущие редакции — по адресу sredapass.ru/legal.

1.3. Обработка персональных данных участников команды Оператора — исполнителей по гражданско-правовым договорам — регулируется внутренним Положением об обработке и защите персональных данных. Работников по трудовым договорам у Оператора нет.

1.4. Обработка ведётся только на законных основаниях, перечисленных в разделе 3. Само по себе посещение сайта согласием на обработку персональных данных не является. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки.

2. Какие данные, о ком и зачем обрабатываются

2.1. Полные реквизиты банковских карт Оператор не получает и не хранит: их обрабатывает только платёжный сервис ЮKassa.

2.2. Специальные категории и биометрические персональные данные Оператор не обрабатывает. Паспортные данные клиентов не запрашиваются.

2.3. В отношении посетителей сайтов клиентов оператором является клиент (владелец сайта); Оператор действует по его поручению на условиях Поручения на обработку персональных данных (sredapass.ru/dpa). Вопросы об этих данных следует направлять владельцу соответствующего сайта.

3. Правовые основания

3.1. Согласие субъекта (п. 1 ч. 1 ст. 6 Закона) — при отправке заявки, оформлении подписки, выборе аналитических cookie; согласие оформляется отдельным документом, опубликованным по адресу sredapass.ru/consent.

3.2. Заключение и исполнение договора, стороной которого является субъект или по инициативе субъекта (п. 5 ч. 1 ст. 6 Закона).

3.3. Поручение другого оператора — для данных посетителей сайтов клиентов (ч. 3 ст. 6 Закона).

3.4. Законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона) — при направлении индивидуального делового предложения организации по её общедоступным деловым контактам, при условии, что права субъекта не нарушаются и обращения прекращаются по первому требованию; а также при хранении документов и переписки по договору для защиты прав в течение срока исковой давности.

3.5. Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 Закона): налоговое законодательство и законодательство о налоге на профессиональный доход.

3.6. Деловые контакты организаций получены не от субъекта, а из общедоступных источников. При первом обращении Оператор сообщает своё наименование, цель обработки, источник получения контакта и право отказаться от дальнейших обращений (ч. 3 ст. 18 Закона).

4. Файлы cookie и веб-аналитика

4.1. Сайт использует технические cookie (сессия личного кабинета, запоминание выбора в уведомлении о cookie, источник перехода) — они необходимы для работы сайта и устанавливаются без согласия.

4.2. Аналитические cookie сервиса Яндекс Метрика (ООО «Яндекс»), включая Вебвизор (запись действий на странице: переходы, прокрутка, нажатия), устанавливаются только после согласия посетителя: при первом посещении показывается уведомление с кнопками «Принять», «Только необходимые» и «Настроить». До выбора Яндекс Метрика не загружается. Факт согласия (дата, версия, выбор) записывается в журнал согласий без привязки к имени посетителя.

4.3. Яндекс Метрика не запускается в личном кабинете, на страницах входа, подписания документов и в рабочей панели; в полях форм запись ввода отключена, поэтому имена, телефоны и адреса почты не попадают в записи сессий.

4.4. Пользователь может в любой момент изменить выбор — ссылкой «Настройки cookie» внизу страниц сайта или кнопкой «Отключить аналитику» на этой странице, а также удалить cookie в настройках браузера. Отключение технических cookie может нарушить работу входа в личный кабинет.

4.5. Данные веб-аналитики используются в обобщённом виде для улучшения сайта.

5. Место хранения, передача и обработчики

5.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).

5.2. Оператор поручает обработку данных в необходимом объёме следующим лицам, обязанным соблюдать конфиденциальность и меры защиты по ст. 19 Закона:

• а) ООО «Таймвэб.Клауд» (ИНН 7810945525, Республика Татарстан, г. Иннополис) — размещение сервера и базы данных;
• б) ООО НКО «ЮМани» (сервис ЮKassa, ИНН 7750005725, г. Москва) — приём платежей и сохранение платёжного метода для автосписаний;
• в) ООО «Яндекс» (ИНН 7736207543, г. Москва) — корпоративная почта домена sredapass.ru (Яндекс 360 для бизнеса), вход через Яндекс ID — если пользователь выбрал этот способ, веб-аналитика (Яндекс Метрика) — только с согласия посетителя (раздел 4);
• г) ООО «СМС.РУ» (сервис SMS.RU, ИНН 7713461582, г. Москва) — отправка кодов входа по SMS, если пользователь выбрал вход по номеру телефона;
• д) ФНС России (приложение «Мой налог») — формирование чеков в соответствии с законодательством о налоге на профессиональный доход.

5.3. Персональные данные клиентов, посетителей сайтов клиентов и иных лиц за пределы Российской Федерации не передаются: уведомления клиентам направляются по электронной почте и в личном кабинете.

5.4. Участники команды Оператора, которые сами привязали служебный Telegram-бот команды, получают через него рабочие уведомления; их имя и идентификатор Telegram передаются в мессенджер Telegram, серверы которого находятся за пределами России, с их письменного согласия (ст. 12 Закона). Служебные уведомления не содержат телефонов, адресов электронной почты и иных контактов клиентов и посетителей.

5.5. Оператор не продаёт персональные данные и не передаёт их иным третьим лицам, кроме случаев, предусмотренных законом (например, по запросу суда или уполномоченного органа).

6. Сроки хранения и уничтожение

6.1. Заявки, не приведшие к договору, — не более 3 лет с последнего взаимодействия либо до отзыва согласия.

6.2. Данные клиентов — в течение действия договора и 30 дней после его прекращения (на случай возобновления подписки). После этого удаляются, кроме: сведений о расчётах и чеках — 5 лет (налоговое законодательство); подписанных документов, сведений об их подписании и переписки по договору — 3 года после прекращения договора (срок исковой давности); отметки о согласиях — на тот же срок.

6.3. Деловые контакты потенциальных клиентов — до отказа от обращений или не более 1 года без ответа. После отказа сохраняется только отметка «не беспокоить» (наименование организации и контакт в виде, позволяющем не обратиться повторно) — не более 3 лет.

6.4. Заявки с сайтов клиентов — 1 год, затем удаляются автоматически; при прекращении договора с клиентом — передаются клиенту и удаляются в течение 30 дней.

6.5. Технические журналы сервера — не более 6 месяцев.

6.6. По истечении сроков или по достижении целей данные уничтожаются либо обезличиваются. Уничтожение подтверждается актом об уничтожении и выгрузкой из журнала действий (приказ Роскомнадзора от 28.10.2022 № 179); резервные копии перезаписываются при плановой ротации, но не позднее 30 дней.

7. Меры защиты

7.1. Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона: назначено лицо, ответственное за организацию обработки (Кожевников Егор Павлович); утверждены Положение об обработке и защите персональных данных и перечень лиц, допущенных к обработке; проведена оценка вреда и определён уровень защищённости; участники команды допускаются к данным после подписания обязательства о неразглашении и ознакомления с Положением; доступ разграничен по ролям, с частичным скрытием контактов для ролей, которым они не нужны; действия в рабочей панели записываются в журнал; вход в рабочую панель защищён вторым фактором; соединения шифруются (HTTPS/TLS); ведётся резервное копирование; пароли и ключи хранятся в менеджере паролей.

7.2. О компьютерном инциденте, повлёкшем неправомерную передачу персональных данных, Оператор уведомляет Роскомнадзор в течение 24 часов и сообщает о результатах расследования в течение 72 часов (ч. 3.1 ст. 21 Закона).

7.3. Если инцидент создаёт риск для прав затронутых лиц, Оператор, кроме того, в течение 72 часов с момента выявления сообщает им по электронной почте или в личном кабинете, что произошло, какие данные затронуты, какие меры приняты и что рекомендуется сделать. Если затронуты данные посетителей сайта клиента, Оператор уведомляет клиента — оператора этих данных — в течение 12 часов (Поручение, sredapass.ru/dpa).

8. Права субъекта и как их реализовать

8.1. Субъект вправе получить сведения об обработке своих данных; потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели; отозвать согласие; потребовать прекращения обращений с деловыми предложениями; обжаловать действия Оператора.

8.2. Запрос направляется на hello@sredapass.ru с адреса, указанного при обращении к Оператору, или через личный кабинет и должен содержать сведения, позволяющие найти данные (имя, телефон или email, дату обращения). Клиент может сам скачать свои данные в личном кабинете («Профиль» → «Скачать мои данные»).

8.3. Оператор отвечает в течение 10 рабочих дней с даты получения запроса (ч. 3 ст. 14, ст. 20 Закона); срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления. При отзыве согласия Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней, — кроме данных, которые Оператор обязан или вправе хранить по иным основаниям (п. 6.2); о таких данных и основаниях Оператор сообщает в ответе.

8.4. Если по запросу нельзя установить, что он исходит от субъекта или его представителя, Оператор в тот же срок направляет мотивированный ответ с просьбой подтвердить личность (например, написать с адреса, указанного при обращении, или через личный кабинет) и не раскрывает данных до подтверждения. Повторный запрос можно направить в любое время.

8.5. Жалоба на действия Оператора может быть направлена в Управление Роскомнадзора по Чувашской Республике — Чувашии или через портал rkn.gov.ru, а также в суд.

9. Контакты и изменения

9.1. Ответственный за организацию обработки персональных данных — ИП Кожевников Егор Павлович (ОГРНИП 323210000063990). Контакты: hello@sredapass.ru, +7 (937) 377-73-14, Telegram @sredapass.

9.2. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на этой странице с указанием даты; прежние редакции сохраняются на странице sredapass.ru/legal.

9.3. Существенными считаются изменения целей обработки, состава обрабатываемых данных, перечня обработчиков, условий трансграничной передачи и сроков хранения. О них клиенты уведомляются по электронной почте и в личном кабинете не позднее чем за 10 дней до вступления в силу.

9.4. Изменение Политики не расширяет целей обработки данных, собранных на основании согласия, без нового согласия субъекта.