Политика в отношении обработки персональных данных

Оператором персональных данных (далее — «Оператор», «Оператор Сервиса») является ИП / ООО «__________» (укажите в админ-панели) (ИНН __________, ОГРН __________), адрес места нахождения: __________, адрес электронной почты: support@example.ru, телефон: +7 (___) ___-__-__. Контактные данные Оператора приведены также в разделе 16 настоящей Политики.

• Политика составлена в соответствии с ч. 2 ст. 18.1 ФЗ-152, опубликована в сети «Интернет» в свободном доступе и действует в отношении всех персональных данных, обрабатываемых Оператором;
• при обработке персональных данных Оператор соблюдает принципы и условия, предусмотренные ст. 5 и 6 ФЗ-152, меры по обеспечению безопасности, предусмотренные ст. 18.1 и 19 ФЗ-152, постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и приказом ФСТЭК России от 18.02.2013 № 21;
• контроль и надзор за соответствием обработки персональных данных требованиям законодательства Российской Федерации осуществляет уполномоченный орган — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор);
• к отношениям, не урегулированным настоящей Политикой, применяется законодательство Российской Федерации.

Политика распространяется на всех субъектов персональных данных, чьи данные обрабатываются Оператором, в том числе: (а) на зарегистрированных Пользователей Сервиса — владельцев объектов локального бизнеса, использующих функционал Сервиса; (б) на посетителей Сайта; (в) на респондентов — лиц, оставляющих оценки и отзывы путём сканирования QR-кода или перехода по ссылке. Обработка осуществляется на законной и справедливой основе, ограничивается достижением заранее определённых и законных целей.

Термины, не определённые отдельно в настоящем разделе, используются в значениях, установленных ст. 3 ФЗ-152.

• «Персональные данные» — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (субъекту персональных данных);
• «Обработка персональных данных» — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• «Оператор» — лицо, организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и содержание обработки;
• «Субъект персональных данных» — лицо, к которому относятся обрабатываемые персональные данные (Пользователь, посетитель Сайта, респондент);
• «Конфиденциальность персональных данных» — обязательное для соблюдения Оператором требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания (ст. 7 ФЗ-152);
• «Cookie» — небольшой фрагмент данных, который веб-сервер направляет браузеру пользователя и который может храниться в браузере и передаваться обратно серверу при последующих обращениях;
• «OAuth-аутентификация» — механизм входа через сторонние сервисы идентификации (VK ID, Mail.ru ID, Яндекс ID), при котором Оператор получает от провайдера идентификации ограниченный набор данных учётной записи субъекта;
• «Пользователь» — зарегистрированное в Сервисе лицо (владелец бизнеса или его уполномоченный представитель), использующее функционал Сервиса на условиях публичной оферты;
• «Респондент» — лицо, оставившее оценку и (или) отзыв через QR-код или ссылку, созданную Пользователем;
• «Согласие» — свободное, волеизъявление субъекта персональных данных, подтверждающее согласие на обработку его персональных данных в смысле ст. 9 ФЗ-152.

Обработка персональных данных осуществляется Оператором на условиях, предусмотренных ч. 1 ст. 6 ФЗ-152, в частности: с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6); если обработка необходима для исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6); для выполнения возложенных законодательством Российской Федерации на Оператора обязанностей (п. 2 ч. 1 ст. 6); для реализации прав и законных интересов Оператора или третьих лиц (п. 7 ч. 1 ст. 6).

Согласие на получение информационных и рекламных сообщений даётся отдельно от согласия на обработку персональных данных, необходимых для исполнения договора, и может быть отозвано в любой момент способом, указанным в разделе 11 настоящей Политики, либо по ссылке в полученном сообщении. Оператор обязан немедленно прекратить обработку в целях продвижения товаров, работ и услуг по требованию субъекта персональных данных (ч. 1 ст. 15 ФЗ-152).

В соответствии со ст. 5 ФЗ-152 обработка осуществляется при соблюдении следующих принципов:

1. законности и справедливости, ограничения обработки конкретными, заранее определёнными и законными целями;
2. недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях;
3. соответствия содержания и объёма обрабатываемых персональных данных заявленным целям (минимизации данных);
4. точности и достаточности персональных данных, их актуализации по мере необходимости;
5. хранения персональных данных в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом, договором;
6. уничтожения либо обезличивания персональных данных по достижении целей обработки или при утрате необходимости в их достижении, если иное не предусмотрено законодательством Российской Федерации.

Персональные данные хранятся не дольше, чем этого требуют цели обработки, за исключением случаев, когда срок хранения данных установлен законодательством Российской Федерации, договором либо необходим для защиты прав и законных интересов Оператора в судебном порядке (ч. 1 ст. 5 ФЗ-152).

По истечении установленных сроков хранения персональные данные подлежат уничтожению либо обезличиванию в срок, не превышающий 30 (тридцати) календарных дней, если иное не предусмотрено законодательством Российской Федерации. Обезличивание осуществляется способами, обеспечивающими невозможность без дополнительной информации определить принадлежность данных конкретному субъекту.

Сайт использует файлы cookie и схожие технологии для обеспечения работы учётной записи, защиты от автоматизированных атак и (при наличии согласия пользователя) для веб-аналитики. Перечень используемых файлов cookie, их назначение, сроки действия и порядок управления ими установлены отдельным документом — Политикой использования файлов cookie, размещённой по адресу ReviewFlow/cookies. Установка обязательных (технических) cookie осуществляется в интересах функционирования Сайта; установка аналитических cookie осуществляется исключительно после получения согласия пользователя.

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом соглашения (поручения) об обработке персональных данных (ч. 3 ст. 6 ФЗ-152). Лица, осуществляющие обработку по поручению Оператора, обязаны соблюдать конфиденциальность персональных данных и обеспечивать их безопасность. Персональные данные не продаются и не передаются третьим лицам в их собственных маркетинговых целях.

• Платёжные провайдеры (ЮKassa, Robokassa) — обработка в целях приёма платежей за подписку; передаются сведения о сумме, идентификаторе платежа и плательщике; платёжные реквизиты Оператору недоступны;
• Провайдеры идентификации (VK ID, Mail.ru ID, Яндекс ID) — получение данных учётной записи при входе по выбору субъекта; обмен данными осуществляется в объёме, определённом настройками субъекта у соответствующего провайдера;
• Хостинг-провайдер — размещение серверной инфраструктуры Сервиса на территории Российской Федерации;
• Сервис доставки электронной почты (SMTP) — отправка транзакционных и информационных писем;
• Яндекс.Метрика (правообладатель — ООО «Яндекс») — сбор обезличенной статистики посещений Сайта в случае подключения владельцем Сервиса и при наличии согласия пользователя на аналитические cookie.

Персональные данные могут быть раскрыты в соответствии с мотивированными запросами судов и уполномоченных государственных органов (органы прокуратуры, Роскомнадзор, органы внутренних дел, налоговые органы) в порядке, установленном законодательством Российской Федерации.

Состав указанных лиц может изменяться Оператором по мере развития Сервиса. Актуальный перечень лиц, осуществляющих обработку по поручению Оператора, предоставляется субъектам персональных данных по запросу, направленному на адрес support@example.ru, в объёме, предусмотренном ч. 7 ст. 14 ФЗ-152.

Серверная инфраструктура Сервиса размещается на территории Российской Федерации. Оператор по возможности не осуществляет трансграничную передачу персональных данных. Если такая передача станет необходимой (например, в связи с изменением инфраструктуры или функций Сервиса), Оператор обязан соблюдать требования ст. 12 ФЗ-152: проверить достаточность уровня защиты прав субъектов в иностранном государстве, направить уведомление Роскомнадзору в предусмотренных законом случаях и осуществлять передачу с согласия субъекта персональных данных, когда оно требуется. До выполнения указанных условий трансграничная передача не производится.

В соответствии со ст. 14–17 ФЗ-152 субъект персональных данных имеет право:

• получать сведения об обработке его персональных данных Оператором, в том числе сведения, предусмотренные ч. 7 ст. 14 ФЗ-152 (цели, способы, сроки, перечень данных, наименование и адрес Оператора, сведения о совершённых передачах данных);
• требовать от Оператора уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными или получены незаконно (ст. 14, 16, 21 ФЗ-152);
• отозвать согласие на обработку персональных данных (ч. 2 ст. 9 ФЗ-152);
• запретить использование персональных данных в целях продвижения товаров, работ, услуг (ст. 15 ФЗ-152) — в том числе отказаться от рассылок;
• принимать предусмотренные законом меры по защите своих прав, включая обжалование действий или бездействия Оператора в Роскомнадзор либо в судебном порядке (ст. 17 ФЗ-152);
• требовать возмещения убытков и (или) компенсации морального вреда в порядке, установленном законодательством Российской Федерации.

1. Обращение (запрос) направляется на адрес электронной почты support@example.ru либо в письменной форме почтовым отправлением на адрес __________.
2. Обращение должно содержать: фамилию, имя и отчество (при наличии) субъекта, сведения, подтверждающие участие субъекта в правоотношениях с Оператором (адрес электронной почты учётной записи, номер телефона), суть запроса (получение сведений, уточнение, блокирование, удаление, отзыв согласия), подпись (либо подтверждение отправки с адреса электронной почты, указанного в учётной записи).
3. Оператор вправе запросить дополнительные сведения, необходимые для идентификации субъекта персональных данных, в порядке ст. 14 ФЗ-152. Оператор не вправе запрашивать сведения о состоянии здоровья субъекта.
4. Ответ на обращение направляется в срок, не превышающий 30 (тридцати) календарных дней с даты его получения (ст. 14, 20, 21 ФЗ-152).
5. Отзыв согласия на обработку персональных данных оформляется отдельным обращением с формулировкой «отзыв согласия на обработку персональных данных»; после отзыва Оператор прекращает обработку и уничтожает данные в сроки, предусмотренные разделом 6 Политики, за исключением данных, хранение которых обязательно в силу закона (данные платежей и финансовых документов).
6. Отказ от рекламных и информационных рассылок осуществляется в том числе путём перехода по ссылке, содержащейся в полученном письме; обработка для указанных целей прекращается в срок не позднее 3 (трёх) рабочих дней.

Оператор принимает правовые, организационные и технические меры, необходимые для обеспечения безопасности персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении них (ст. 18.1, 19 ФЗ-152), в том числе:

• определение уровней защищённости обрабатываемых данных и угроз безопасности в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119;
• применение шифрования каналов передачи данных по протоколу TLS (не ниже версии 1.2);
• хранение паролей исключительно в виде необратимых scrypt-хеш-значений с уникальной солью;
• разграничение прав доступа сотрудников Оператора к персональным данным на основе принципа минимальных привилегий; учёт всех лиц, допущенных к обработке;
• поддержка двухфакторной аутентификации в Кабинете Пользователя;
• журналирование действий с персональными данными и контроль целостности журналов;
• резервное копирование данных и восстановление работоспособности после сбоев;
• применение средств антивирусной защиты, межсетевого экранирования и регулярное обновление программного обеспечения;
• включение обязательств о неразглашении персональных данных в трудовые договоры и договоры с лицами, привлекаемыми к обработке;
• внутренний контроль за соответствием обработки требованиям законодательства и настоящей Политики.

О фактах неправомерного доступа к персональным данным Оператор уведомляет Роскомнадзор и затронутых субъектов в порядке и сроки, установленные законодательством Российской Федерации.

Сервис не предназначен для лиц, не достигших возраста 18 лет, и не преднамеренно собирает их персональные данные. Регистрация и использование Сервиса допускаются только совершеннолетними лицами. Если Оператору станет известно, что персональные данные несовершеннолетнего были получены без согласия его законных представителей, такие данные будут удалены в срок, не превышающий 10 (десяти) рабочих дней с момента получения соответствующих сведений. Законные представители несовершеннолетнего вправе направить запрос об удалении данных на адрес support@example.ru.

В соответствии с ч. 1 ст. 9 ФЗ-152 согласие на обработку персональных данных даётся субъектом свободно, своей волей и в своём интересе. При регистрации в Сервисе согласие оформляется в письменной форме в электронном виде путём проставления субъектом отметки в соответствующем поле формы и (или) нажатия кнопки «Зарегистрироваться», что в силу п. 4 ч. 1 ст. 9 ФЗ-152 является равнозначным подписанию письменного согласия. Одновременно с согласием на обработку данных субъект подтверждает ознакомление с настоящей Политикой и публичной офертой.

Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её публикации на Сайте ReviewFlow (раздел /privacy), если иное не предусмотрено новой редакцией. Дата последней редакции указана в начале документа. Существенные изменения могут доводиться до сведения Пользователей дополнительно по адресам электронной почты, указанным в учётных записях. Продолжение использования Сервиса после публикации новой редакции Политики означает ознакомление с ней и согласие субъекта персональных данных с изменёнными условиями обработки.

• Наименование оператора: ИП / ООО «__________» (укажите в админ-панели);
• Руководитель: __________;
• Адрес места нахождения: __________;
• Адрес электронной почты: support@example.ru;
• Телефон: +7 (___) ___-__-__;
• ОГРН: __________;
• ИНН: __________;
• Сайт (Сервис): ReviewFlow.

По всем вопросам, связанным с обработкой персональных данных и реализацией прав субъектов персональных данных, следует обращаться по адресу электронной почты support@example.ru или в письменной форме по адресу __________.