Политика в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика разработана во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Общество с ограниченной ответственностью «АЛЬТАИР» (далее — «Оператор»).
1.2. Политика действует в отношении всех персональных данных, которые Оператор получает от посетителей сайта https://schetno.pro, пользователей кабинета app.schetno.pro и из переписки с ними.
1.3. Политика является общедоступным документом (часть 2 статьи 18.1 Закона) и публикуется по адресу https://schetno.pro/legal/privacy.
1.4. Оператор осуществляет обработку персональных данных в порядке, предусмотренном статьёй 22 Закона. Ответственный за организацию обработки персональных данных назначается приказом Оператора; обращения направляются на адрес hello@avora.com.ru.
2. Термины
В Политике используются термины в значениях, определённых статьёй 3 Закона: персональные данные, оператор, обработка, автоматизированная обработка, предоставление, распространение, блокирование, уничтожение, обезличивание. Пользователь — физическое лицо, зарегистрировавшее учётную запись в Сервисе или действующее от имени Организации. Сервис — программа «Счётно».
3. Принципы обработки
Оператор обрабатывает персональные данные на законной и справедливой основе; ограничивает обработку достижением конкретных, заранее определённых целей; не объединяет базы данных, обработка которых ведётся в несовместимых целях; обрабатывает только те данные, которые отвечают целям обработки, и не дольше, чем этого требуют цели; обеспечивает точность и актуальность данных (статья 5 Закона).
4. Категории субъектов и персональных данных
4.1. Пользователи (представители Организаций). Обрабатываются: фамилия, имя (указанное имя); адрес электронной почты; пароль в виде необратимого хеша; сведения о действиях в Сервисе (журнал); реквизиты Организации, которые могут содержать персональные данные индивидуального предпринимателя (ФИО, ИНН, ОГРНИП, адрес); сведения о платежах (сумма, дата, последние четыре цифры и тип банковской карты, предоставляемые платёжным сервисом; полный номер карты Оператору не передаётся).
4.2. Работники и контрагенты Организаций — данные, загружаемые Пользователем: фамилия, имя, отчество; дата рождения; пол; гражданство; СНИЛС; ИНН; серия и номер документа, удостоверяющего личность; должность; суммы начислений, удержаний и выплат; наименования и ИНН контрагентов из банковских выписок. В отношении этих данных Оператор является лицом, осуществляющим обработку по поручению Организации-оператора (часть 3 статьи 6 Закона) на условиях Поручения на обработку персональных данных. Обязанность по наличию правового основания обработки (статья 86 Трудового кодекса Российской Федерации, согласия, если они требуются) лежит на Организации.
4.3. Технические данные, собираемые автоматически: IP-адрес, сведения о браузере и устройстве, дата и время обращений, идентификатор сессии, технические журналы.
4.4. Оператор не обрабатывает специальные категории персональных данных (статья 10 Закона) и биометрические персональные данные (статья 11 Закона) и не принимает решений, порождающих юридические последствия, исключительно на основании автоматизированной обработки (статья 16 Закона).
4.5. Оператор не осуществляет распространение персональных данных и не обрабатывает персональные данные, разрешённые субъектом для распространения (статья 10.1 Закона).
5. Цели и правовые основания обработки
| Цель | Категории данных | Правовое основание | Срок |
|---|---|---|---|
| Регистрация, идентификация, предоставление доступа к Сервису, исполнение договора-оферты | п. 4.1 | п. 5 ч. 1 ст. 6 Закона (договор); ст. 6 Федерального закона № 63-ФЗ в части простой электронной подписи | Срок действия договора и 3 года после (срок исковой давности) |
| Расчёт налогов, взносов и формирование отчётности Организации по её данным | п. 4.2 | ч. 3 ст. 6 Закона (поручение оператора-Организации) | Срок действия договора и 12 месяцев после, если Организация не потребует уничтожения ранее |
| Направление служебных сообщений: подтверждение адреса, восстановление пароля, уведомления об оплате и сроках отчётности | имя, адрес электронной почты | п. 5 ч. 1 ст. 6 Закона (договор) | Срок действия договора |
| Исполнение требований законодательства: бухгалтерский и налоговый учёт Оператора, ответы на запросы уполномоченных органов | п. 4.1 (платежи) | п. 2 ч. 1 ст. 6 Закона; ст. 29 Федерального закона № 402-ФЗ | 5 лет с окончания отчётного года |
| Обеспечение безопасности, предотвращение мошенничества, расследование инцидентов | п. 4.3 | п. 7 ч. 1 ст. 6 Закона (законные интересы Оператора) | 12 месяцев |
| Ответы на обращения, претензии и запросы субъектов | имя, адрес электронной почты, содержание обращения | п. 2 ч. 1 ст. 6 Закона; ст. 14, 20 Закона | 3 года с даты ответа |
5.1. Согласие на обработку персональных данных в случаях, когда оно требуется Законом, предоставляется Пользователем в форме отдельного документа путём проставления отметки при регистрации; факт, дата и время предоставления согласия фиксируются Оператором.
6. Порядок и условия обработки
6.1. Обработка ведётся с использованием средств автоматизации: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) лицам, указанным в пункте 6.4, обезличивание, блокирование, удаление, уничтожение.
6.2. Локализация. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона). Серверы Сервиса размещены в Российской Федерации.
6.3. Трансграничная передача персональных данных не осуществляется. Перед обращением к моделям искусственного интеллекта передаваемые фрагменты обезличиваются: фамилии, имена, отчества, СНИЛС, номера документов, счетов и телефонов заменяются условными обозначениями; денежные показатели расчётов и отчётности моделям не передаются. Обезличенные данные персональными данными не являются.
6.4. Лица, привлекаемые к обработке (обработка по поручению Оператора, часть 3 статьи 6 Закона), с которыми заключены договоры, содержащие обязанность соблюдать конфиденциальность и обеспечивать безопасность данных:
- провайдер хостинга (размещение серверов в Российской Федерации) — хранение и техническое обслуживание инфраструктуры;
- ООО «КлаудПэйментс» (платёжный сервис CloudPayments) — приём платежей банковскими картами; полные реквизиты карты обрабатываются платёжным сервисом в соответствии со стандартом PCI DSS и Оператору не передаются;
- почтовый сервис ООО «ВК» (Mail.ru) — отправка служебных писем.
6.5. Персональные данные могут быть переданы уполномоченным государственным органам по основаниям и в порядке, установленным законодательством Российской Федерации.
6.6. Сроки хранения определены разделом 5. По достижении целей обработки, истечении срока хранения либо при отзыве согласия (если обработка основана на согласии) персональные данные уничтожаются в течение 30 (тридцати) дней (часть 4 статьи 21 Закона), за исключением данных, хранение которых обязательно в силу закона; такие данные блокируются и хранятся обособленно до истечения установленного законом срока.
6.7. Обработка персональных данных без использования средств автоматизации допускается при ведении переписки и рассмотрении обращений.
7. Меры по обеспечению безопасности
Во исполнение статьи 19 Закона и постановления Правительства Российской Федерации от 01.11.2012 № 1119 Оператор принимает правовые, организационные и технические меры:
- назначение ответственного за организацию обработки персональных данных; издание локальных актов, регламентирующих обработку;
- определение угроз безопасности и уровня защищённости информационной системы;
- передача данных только по защищённому протоколу TLS; хранение паролей в виде необратимых криптографических хешей; одноразовые ссылки для подтверждения адреса и смены пароля;
- разграничение прав доступа, изоляция данных между Организациями, доступ к данным Организации только у её Пользователей;
- журналирование действий с расчётами, отчётностью и учётными записями; журналирование действий администраторов;
- ежедневное резервное копирование с хранением копий на территории Российской Федерации;
- обезличивание данных перед обращением к внешним моделям искусственного интеллекта;
- обучение работников, допущенных к обработке, и обязательства о конфиденциальности;
- выявление, учёт и устранение инцидентов; уведомление Роскомнадзора о неправомерной передаче персональных данных в сроки, установленные частью 3.1 статьи 21 Закона.
8. Права субъектов персональных данных
8.1. Субъект персональных данных вправе (статьи 14, 15, 16, 17, 20, 21 Закона):
- получать информацию, касающуюся обработки его персональных данных, в объёме части 7 статьи 14 Закона;
- требовать уточнения, блокирования или уничтожения персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку в случаях, когда обработка основана на согласии; отзыв не влияет на законность обработки, произведённой до отзыва, и не прекращает обработку, осуществляемую на ином правовом основании;
- требовать прекращения обработки для целей продвижения товаров и услуг (Оператор рекламных рассылок не ведёт);
- обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.
8.2. Запрос направляется на адрес hello@avora.com.ru с адреса электронной почты, указанного при регистрации, либо почтовым отправлением по месту нахождения Оператора и должен содержать сведения, предусмотренные частью 3 статьи 14 Закона. Оператор отвечает в течение 10 (десяти) рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением субъекта (часть 1 статьи 20 Закона).
8.3. Запросы работников Организаций, чьи данные обрабатываются по поручению, Оператор передаёт Организации-оператору и содействует ей в их исполнении.
9. Файлы cookie и аналитика
9.1. Сервис использует только технически необходимые файлы cookie — идентификатор сессии для авторизации в кабинете. Без них вход в кабинет невозможен; рекламные и трекинговые cookie сторонних систем не используются.
9.2. Сайт не подключает сторонние системы веб-аналитики, передающие данные третьим лицам. Технические журналы веб-сервера (IP-адрес, время запроса) используются исключительно для обеспечения безопасности (пункт 4.3).
10. Заключительные положения
10.1. Оператор вправе вносить изменения в Политику. Новая редакция публикуется по адресу https://schetno.pro/legal/privacy с указанием даты; о существенных изменениях Пользователи уведомляются в кабинете.
10.2. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.
10.3. Реквизиты Оператора: Общество с ограниченной ответственностью «АЛЬТАИР», ИНН 9724238597, ОГРН 1267700083782, г. Москва; электронная почта для обращений по вопросам персональных данных: hello@avora.com.ru.