Редакция 1. Дата введения: (todo — указать дату публикации).

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о ПДн») и определяет порядок обработки персональных данных (далее — «ПДн») и меры по обеспечению их безопасности, принимаемые физическим лицом, применяющим специальный налоговый режим «Налог на профессиональный доход» (самозанятым), — оператором сервиса REMCRM (далее — «Оператор»).

Реквизиты и контакты Оператора, в том числе ответственного за организацию обработки ПДн, указаны в разделе 13.

Политика применяется ко всей информации, которую Оператор может получить о посетителях сайта https://remcrm.example.com (далее — «Сайт», «Портал») и о пользователях программного обеспечения REMCRM (далее — «Сервис»), а также о третьих лицах, чьи ПДн обрабатываются в Сервисе по поручению оператора таких данных.

Политика действует в редакции, опубликованной на Сайте на дату обработки. О изменениях Политики Оператор уведомляет публикацией новой редакции с указанием номера и даты; предыдущие редакции сохраняются и доступны по запросу субъекта ПДн и уполномоченных органов.

1. Основные понятия

Используются понятия Закона о ПДн, а также:

• Субъект ПДн — физическое лицо, чьи ПДн обрабатываются Оператором. Категории субъектов — раздел 3.
• Оператор — Оператор Сервиса, указанное в преамбуле физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку ПДн, а также определяющее цели, состав и действия с ПДн. В отношении ПДн клиентов и сотрудников пользователя Сервиса Оператор действует как лицо, осуществляющее обработку по поручению оператора таких данных (ч. 3 ст. 6 Закона о ПДн) — см. раздел 5 и Поручение.
• Пользователь — лицо, осуществившее акцепт публичной оферты и получившее доступ к Сервису; если доступ предоставлен организации — организация, а также её работники и иные уполномоченные лица, использующие Сервис.
• Посетитель — любое лицо, обратившееся к Сайту, в том числе не являющееся Пользователем.
• Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.
• Обезличивание ПДн — действия, в результате которых невозможно определить без использования дополнительной информации принадлежность ПДн конкретному субъекту.
• Блокирование ПДн — временное прекращение обработки ПДн (кроме случаев, когда обработка необходима для уточнения данных).
• Уничтожение ПДн — действия, в результате которых ПДн уничтожаются безвозвратно с невозможностью дальнейшего восстановления их содержания в ИСПДн и (или) с уничтожением материальных носителей.
• Cookie — технологические фрагменты данных, сохраняемые на стороне браузера посетителя или пользователя для обеспечения работы Сайта и Сервиса.

2. Какие ПДн обрабатываются

2.1. ПДн Посетителей Сайта

• Фамилия, имя при обращении через форму связи; адрес электронной почты; номер телефона (если указан добровольно в обращении); сведения об обращении (текст, дата).
• Технические данные: IP-адрес, тип браузера и устройства, запрашиваемые адреса страниц — в объёме, описанном в разделе 11 и Уведомлении об использовании Cookie.

2.2. ПДн Пользователей — физических лиц (работников и представителей оператора Сервиса)

• Фамилия, имя, отчество; адрес электронной почты; номер телефона (при указании); должность (при указании); наименование организации-Пользователя; сведения о роли и правах доступа в Сервисе; идентификатор учётной записи; хеш пароля (текст пароля Оператором не хранится и не обрабатывается); аватар (при загрузке); данные о входах и активности: IP-адрес, дата и время доступа, журнал действий в Сервисе.

2.3. ПДн третьих лиц — клиентов и контрагентов пользователя Сервиса (физические лица)

Обрабатываются в Сервисе по поручению Пользователя (как оператора этих данных) в объёме, вводимом Пользователем:

• Фамилия, имя, отчество; номер телефона; адрес электронной почты; почтовый адрес; сведения об обращении (заявке): описание неисправности, данные устройства, даты, суммы расчётов; примечания, вводимые Пользователем.

2.4. ПДн сотрудников и представителей юридических лиц — контрагентов Оператора

• Фамилия, имя, отчество, должность, электронная почта, телефон — в объёме, необходимом для заключения и исполнения договора, обмена документами.

2.5. Категории ПДн, которые Оператор не обрабатывает

Специальные категории ПДн (расовая и национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь), биометрические ПДн, сведения о принадлежности к объединениям, данные о членстве в профессиональных союзах и иные категории, обработка которых требует письменного согласия или запрещена законом, Оператором не обрабатываются. Оператор не осуществляет специальную обработку ПДн несовершеннолетних; при выявлении таких данных Оператор блокирует их и уведомляет Пользователя.

3. Категории субъектов ПДн

4. Цели обработки ПДн

Обработка ПДн в целях, не указанных в настоящем разделе, не осуществляется. Новые цели обрабатываются только после внесения изменений в Политику и, если это требуется законом, после получения согласия субъекта.

5. Правовые основания обработки

5.1. Оператор обрабатывает ПДн при наличии хотя бы одного из оснований, предусмотренных ст. 6 Закона о ПДн:

• исполнение договора, стороной которого является субъект ПДн, и создание условий для его заключения (п. 1, 2 ч. 1 ст. 6);
• согласие субъекта ПДн — в случаях, когда обработка не охватывается договором (п. 3 ч. 1 ст. 6);
• защита жизни, здоровья или иных жизненно важных интересов субъекта (п. 4 ч. 1 ст. 6);
• осуществление правосудия, исполнения судебного акта, акта другого уполномоченного органа (п. 6 ч. 1 ст. 6);
• обработка по поручению оператора ПДн на основании договора (поручения) с ним (ч. 3 ст. 6) — в отношении ПДн клиентов и сотрудников Пользователя;
• обработка в целях статистических и иных исследований на основе обезличенных ПДн (ч. 7, 8 ст. 6).

5.2. Согласие оформляется отдельно от договора и от настоящей Политики (ст. 9 Закона о ПДн). Факт предоставления согласия фиксируется: текст согласия и его редакция, дата и время, IP-адрес, источник (адрес страницы), идентификатор субъекта. Отозвать согласие можно в порядке раздела 12. Тексты согласий опубликованы на Сайте в разделе /legal/consents.

5.3. Заполнение формы на Сайте без проставления отметки о согласии не считается выражением согласия. Технические (строго необходимые) cookie используются для оказания Пользователю сервисной услуги в целях, указанных в разделе 11; предварительного согласия при этом не требуется, Пользователю размещается уведомление (/legal/cookies). Правовое основание использования технических cookie (todo — подтвердить ссылку на норму закона у юриста на дату публикации).

5.4. Нормативные акты, которым следует Оператор:

• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 152-ФЗ (в части требований к ИСПДн), постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в ИСПДн»;
• приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по реализации требований... к защите персональных данных при их обработке в ИСПДн»;
• приказ ФСТЭК России от 11.02.2013 № 17 «Об утверждении Состава и содержания...» (в редакции, применяемой к ИСПДн Оператора) (todo — сверить действующие редакции подзаконных актов на дату публикации);
• приказы и методические рекомендации Роскомнадзора, в том числе по обезличиванию ПДн;
• Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей» — в отношениях с субъектами, использующими Сервис для личных нужд.

6. Принципы и условия обработки

6.1. Обработка осуществляется на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых и законных целей (раздел 4). Не допускается обработка ПДн, несовместимая с целями сбора.

6.2. Обрабатываются только ПДн, соответствующие заявленным целям; их объём и характер не должны приводить к избыточности по отношению к целям.

6.3. Хранение ПДн осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки (раздел 9).

6.4. Обработка в Сервисе ведётся с разделением данных по организациям-Пользователям: доступ к ПДн предоставляется только лицам, обладающим соответствующими правами доступа в рамках своей организации.

6.5. Конфиденциальность: Оператор не раскрывает ПДн третьим лицам и не осуществляет распространение ПДн без согласия субъекта, кроме случаев, предусмотренных законом (раздел 7).

7. Передача ПДн третьим лицам

7.1. Оператор не распространяет ПДн и не передаёт их неопределённому кругу лиц.

7.2. Предоставление ПДн третьим лицам возможно только в следующих случаях:

• По поручению оператора ПДн — привлекаемые Оператором лица, обеспечивающие функционирование Сервиса (todo — опубликовать перечень: хостинг-провайдер/оператор дата-центра на территории РФ, провайдер объектного хранилища для резервных копий, SMS-шлюз при подключении функции уведомлений, платёжный сервис при подключении приёма платежей). Каждое такое лицо обязуется соблюдать конфиденциальность и безопасность на условиях, не менее строгих, чем поручение Оператора.
• Правообладателям данных в Сервисе — Пользователю (организации), в интересах которого обрабатываются ПДн его клиентов, а также лицам, наделённым им соответствующими правами доступа.
• Уполномоченным государственным органам — по мотивированному запросу в порядке и на основаниях, предусмотренных законодательством РФ.
• Преемнику Оператора — при реорганизации или переходе прав, с уведомлением субъектов ПДн.

7.3. Оператор не предоставляет ПДн для маркетинговых, исследовательских или иных целей третьим лицам без отдельного согласия субъекта.

7.4. При выявлении факта предоставления Пользователем ПДн третьих лиц без законных оснований Оператор блокирует такие данные и уведомляет Пользователя.

8. Меры по обеспечению безопасности ПДн

Оператор реализует правовые, организационные и технические меры, необходимые для выполнения требований ст. 18.1, 19 и 20 Закона о ПДн и подзаконных актов, в том числе:

• Организационные: назначение ответственного за организацию обработки ПДн (раздел 13); определение перечня лиц, допускаемых к обработке; правила доступа и отзывные процедуры; учёт машинных носителей информации; порядок обработки запросов субъектов (раздел 12); реагирование на инциденты (раздел 9.5); ознакомление с настоящей Политикой.
• Модель угроз и уровни защищённости: оценка вреда субъектам и определение уровня защищённости ИСПДн (todo — зафиксировать уровень, назначенный по результатам оценки вреда); подготовка модели угроз и плана мероприятий по приведению ИСПДн в соответствие с требованиями ФСТЭК России.
• Технические: разграничение прав доступа на основе ролевой модели и привязки к организации; аутентификация с использованием токенов, передаваемых по защищённому соединению (HTTPS); хранение паролей в виде необратимого хеша (BCrypt); фильтрация и санитизация вводимых данных; журналирование действий (аудит) с фиксацией IP-адреса и времени; защита от перебора паролей и ограничение доступа по IP (белые списки); ограничение частоты запросов (todo — внедрить); раздельное хранение данных организаций; резервное копирование; контроль целостности; защита передаваемых данных (TLS).
• Режимные: разграничение физического и административного доступа к серверной инфраструктуре, управление конфигурацией и секретами доступа, порядок предоставления доступа специалистов поддержки (имперсонация) только по поручению Пользователя с обязательным журналированием.

Оператор не раскрывает детальное описание мер защиты публично в объёме, который может быть использован для обхода защиты.

9. Хранение, сроки и трансграничная передача

9.1. Место хранения и обработки

Все ИСПДн Оператора находятся на территории Российской Федерации (todo — указать оператора обработки и адрес дата-центра). Централизация баз данных, содержащих ПДн, осуществляется на серверах, расположенных в РФ.

9.2. Сроки обработки и хранения

По достижении целей обработки либо по истечении срока хранения Оператор уничтожает ПДн либо обезличивает их.

9.3. Уничтожение и обезличивание

Уничтожение ПДн осуществляется способом, обеспечивающим невозможность восстановления содержания (стирание в ИСПДн, уничтожение машинных носителей), с составлением акта об уничтожении в срок не более 30 рабочих дней с даты поступления требования или наступления основания (ч. 5 ст. 21 Закона о ПДн). Обезличивание ПДн для статистических и исследовательских целей осуществляется методами, предусмотренными требованиями Роскомнадзора (удаление идентификаторов, агрегирование, псевдонимизация в отдельном массиве) (todo — утвердить регламент обезличивания).

9.4. Трансграничная передача

Трансграничная передача ПДн на территорию иностранных государств Оператором не осуществляется. Если такая передача станет необходимой, она будет производиться только после обеспечения соответствия требованиям ст. 12 Закона о ПДн и, при необходимости, после получения письменного согласия субъекта.

9.5. Инциденты

При выявлении факта неправомерной или случайной передачи (раскрытия) ПДн Оператор в срок, установленный законодательством, уведомляет уполномоченный орган (Роскомнадзор) и принимает меры по установлению лиц и по устранению последствий. Субъекту ПДн направляются сведения о затронувшем его инциденте по электронной почте или иными доступными средствами.

10. Прекращение обработки и удаление данных при прекращении доступа

10.1. При прекращении действия Подписки доступ Пользователя переводится в режим «только чтение» на 12 месяцев (условия — в Пользовательском соглашении и Оферте). В этот период ПДн сохраняются и обрабатываются исключительно в целях обеспечения возможности их просмотра и экспорта Пользователем.

10.2. По истечении срока режима «только чтение» Оператор вправе уничтожить ПДн, уведомив Пользователя не менее чем за 30 календарных дней и предоставив возможность экспорта.

10.3. ПДн уничтожаются ранее по требованию субъекта ПДн, поступившему в порядке раздела 12, в течение 30 дней с даты обращения, если иное не предусмотрено законом.

11. Cookie и технические данные

11.1. Сайт и Сервис используют только технические (строго необходимые) cookie: аутентификационный токен сессии, идентификатор выбранной организации, технические флаги интерфейса. Их назначение — поддержание сессии, безопасность и корректная работа Сервиса.

11.2. Аналитические, рекламные, сторонние трекеры и маркетинговые cookie Оператором не используются. (todo — при подключении метрик добавить соответствующий раздел и получать согласие до установки необходимых для функциональности cookie.)

11.3. Технические cookie устанавливаются на основании уведомления, размещённого в разделе 11 настоящей Политики, и не требуют предварительного согласия, так как без них невозможна оказываемая услуга; пользователь может удалить или заблокировать их в настройках браузера, что приведёт к утрате возможности работать в Сервисе.

11.4. Файлы журнала сервера (IP-адрес, дата и время, запрашиваемый адрес) используются для обеспечения безопасности и диагностики в порядке раздела 4; срок хранения — до 12 месяцев.

12. Права субъекта ПДн и порядок их реализации

12.1. Субъект ПДн вправе:

• получать сведения, касающиеся обработки его ПДн, — сведения об Операторе, подтверждение факта обработки, правовые основания и цели, применяемые способы, обрабатываемые данные и источник их получения, срок обработки, имя лица, которому данные передаются, факт и основания передачи третьим лицам, информацию об осуществлённом обезличивании, о механизмах доступа, включая информацию о мерах по защите ПДн (ч. 1 ст. 14 Закона о ПДн);
• требовать уточнения, блокирования или уничтожения ПДн, если они неполные, устаревшие, неточные, незаконно полученные или не необходимые для заявленной цели, а также принимать предусмотренные законом меры по защите своих прав (ст. 14 Закона о ПДн);
• отзывать согласие на обработку ПДн, если обработка осуществлялась на его основании (ч. 2 ст. 9);
• возражать против обработки (ст. 19); требовать прекращения обработки в целях интернет-маркетинга;
• обжаловать действия Оператора в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) или в судебном порядке (ст. 17, 22 Закона о ПДн);
• защищать свои права, в том числе требовать возмещения убытков и морального вреда.

12.2. Порядок обращения. Запрос подаётся в письменной или электронной форме на адрес Оператора (todo — указать e-mail, например privacy@example.com) с указанием: ФИО, контакта для связи, содержания требования, способа получения ответа. При необходимости — подтверждение личности сведениями, указанными при регистрации. Ответ предоставляется в течение 30 дней с даты поступления запроса; при отказе — с мотивированным обоснованием (ч. 2 ст. 20, ч. 4 ст. 21 Закона о ПДн).

12.3. Отзыв согласия производится уведомлением Оператора по адресу раздела 13 или через функционал Сервиса (todo — реализовать в интерфейсе). После отзыва согласия Оператор прекращает обработку, если отсутствуют иные правовые основания (например, исполнение договора), и уведомляет субъекта о результатах.

12.4. Субъекты ПДн из числа клиентов Пользователя (организации) направляют требования непосредственно Пользователю как оператору их данных; Оператор оказывает Пользователю необходимое содействие.

12.5. Оператор не вправе отказать в удовлетворении требования, если оно законно и подтверждена личность субъекта; в случае, если обработка необходима исключительно для исполнения договора с участием субъекта, отзыв согласия влечёт невозможность исполнения договора, о чём субъект уведомляется.

13. Ответственный за организацию обработки ПДн и реквизиты Оператора

Редакция 1. Дата введения: (todo). Предыдущие редакции отсутствуют.