Политика обработки персональных данных

1. Оператор и термины

1.1. Оператор персональных данных: Ибрагимов Асадбек Ойбекович, самозанятый (плательщик налога на профессиональный доход), ИНН 632412379620 (сервис «Smenza»). Контакт для обращений по вопросам персональных данных: maro3ztuva@gmail.com. Сайт: smenza.ru.

1.1.1. Оператор направил уведомление об обработке персональных данных в Роскомнадзор, регистрационный номер уведомления 100346223. Сведения реестра операторов общедоступны на портале персональных данных Роскомнадзора; публикация записи в открытом поиске производится уполномоченным органом и от Оператора не зависит.

1.2. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Обработка — любое действие с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Автоматизированная обработка — обработка с помощью средств вычислительной техники.

1.3. Используя сайт и связанные сервисы, вы подтверждаете, что ознакомились с настоящей Политикой. Согласие на обработку персональных данных оформляется отдельным документом (страница «Согласие»), как того требует законодательство.

2. Категории субъектов и состав обрабатываемых данных

2.1. Посетители сайта, направляющие обращение или запись через форму:

• имя (если указано);
• контакт для связи: номер телефона, имя пользователя Telegram или адрес электронной почты — по выбору посетителя;
• содержание обращения: выбранная услуга, желаемые дата и время, специалист, комментарий и иные сведения, которые посетитель сообщает по своему усмотрению;
• технические данные подтверждения согласия и защиты от злоупотреблений: хэш IP-адреса и хэш сведений о браузере (необратимое преобразование — сами IP-адрес и «отпечаток» браузера в открытом виде не хранятся), дата и время отправки.

2.2. Представители бизнесов — клиентов сервиса:

• название бизнеса, имя контактного лица, контакт (телефон / Telegram / e-mail), город — при заявке на подключение;
• данные анкеты запуска: сведения о бизнесе, услугах, сотрудниках (имена, роли, графики работы), контактные данные, загружаемые файлы (логотип, фотографии);
• идентификатор и имя пользователя Telegram — при подключении уведомлений и входе в кабинет;
• сведения о тарифе и оплатах (без реквизитов банковских карт — платёжные данные Оператор не собирает и не хранит).

2.3. Сотрудники бизнесов-клиентов: имя, роль/должность, перечень выполняемых услуг, график работы, идентификатор Telegram (при подключении личных уведомлений). Эти данные вносит бизнес-работодатель, который отвечает за наличие законного основания их обработки.

2.3.1. ЧТО ОПЕРАТОР ВИДИТ О БИЗНЕСЕ-КЛИЕНТЕ. Субъект вправе знать состав обрабатываемых данных (ст. 14 152-ФЗ), поэтому перечисляем прямо. В служебной карточке бизнеса Оператору доступны: название бизнеса, город и сфера деятельности; имя контактного лица и его контакт; привязанные аккаунты Telegram и их роли; действующий тариф, история оплат и суммы; кто пригласил бизнес по партнёрской программе и кого привёл он; выданные ключи доступа и факт входа по ним; тип и адрес опубликованного сайта; количественные показатели работы (сколько обращений, записей, клиентов, услуг, сотрудников — числами, без их содержания); расход на автоматизированную генерацию текстов; поступившие жалобы на сайт и обращения в поддержку; записи журнала действий по кабинету.

2.3.2. Персональные данные КЛИЕНТОВ бизнеса в эту карточку не попадают: доступны только количественные показатели, которые считает база данных. Просмотр обращений и записей клиентов конкретного бизнеса Оператору недоступен, кроме случаев обращения самого бизнеса в поддержку с просьбой разобраться в конкретной ситуации.

2.4. Посетители сайтов бизнесов-клиентов и клиенты онлайн-записи: их данные Оператор обрабатывает ПО ПОРУЧЕНИЮ соответствующего бизнеса (раздел 6 настоящей Политики). Оператором таких данных является бизнес, чьей страницей или ботом воспользовался посетитель.

2.5. Специальные категории персональных данных (здоровье, убеждения и т.п.) и биометрические данные Оператором не запрашиваются и целенаправленно не обрабатываются. Просим не указывать такие сведения в свободных полях форм.

2.6. Оператор не проверяет достоверность предоставляемых данных и исходит из того, что субъект предоставляет достоверную информацию и поддерживает её в актуальном состоянии.

3. Цели обработки

3.1. Персональные данные обрабатываются исключительно в следующих целях:

• приём, обработка обращений и записей; связь с субъектом по оставленному запросу;
• уведомление о новых обращениях и записях, напоминания о предстоящих визитах;
• ведение обращений в защищённом кабинете (статусы, история, календарь);
• заключение и исполнение договора с бизнесом-клиентом: подключение, настройка «под ключ», поддержка, расчёты;
• формирование обезличенной статистики посещаемости сайта и оценка эффективности сервиса (веб-аналитика — только после согласия, см. раздел 8);
• защита форм от спама и злоупотреблений, обеспечение безопасности сервиса;
• подтверждение факта получения согласия на обработку персональных данных (журналирование согласий);
• исполнение требований законодательства Российской Федерации.

3.2. Обработка ограничивается достижением этих целей. Объединение баз данных, содержащих персональные данные, обрабатываемые в несовместимых целях, не допускается. Данные не используются для рекламного профилирования и не продаются.

4. Правовые основания обработки

• согласие субъекта персональных данных (ст. 9 152-ФЗ) — при отправке форм и при принятии аналитических cookie;
• заключение и исполнение договора, стороной либо выгодоприобретателем которого является субъект, в том числе действия по его заявке до заключения договора (п. 5 ч. 1 ст. 6 152-ФЗ);
• осуществление прав и законных интересов Оператора (защита от злоупотреблений, обеспечение работоспособности сервиса), если при этом не нарушаются права субъектов (п. 11 ч. 1 ст. 6 152-ФЗ);
• исполнение возложенных на Оператора законодательством обязанностей.

5. Действия с данными и способы обработки

5.1. В ходе обработки совершаются: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.2. Обработка осуществляется автоматизированным способом (информационная система сервиса) с передачей по защищённым каналам связи. Решения, порождающие юридические последствия для субъекта, на основании исключительно автоматизированной обработки не принимаются.

5.3. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Серверы сервиса и резервные копии размещены в дата-центрах на территории РФ.

6. Обработка по поручению бизнесов-клиентов

6.1. В отношении персональных данных посетителей сайтов бизнесов-клиентов и клиентов онлайн-записи оператором персональных данных является соответствующий бизнес. Сервис обрабатывает такие данные по поручению бизнеса на основании ч. 3 ст. 6 152-ФЗ: технически принимает обращения и записи, хранит их, доставляет бизнесу уведомления, направляет клиентам напоминания о предстоящем визите, показывает данные в кабинете бизнеса, а также обеспечивает работоспособность сервиса (контроль доставки уведомлений, выявление сбоев и спама, техническая поддержка по обращению бизнеса). Доступ технического персонала сервиса к данным ограничен перечисленными задачами и обязанностью конфиденциальности.

6.1.1. Копии обращений и записей клиентов в служебные каналы Оператора НЕ передаются: уведомление о новом обращении уходит только в чаты, привязанные самим бизнесом. Сквозного просмотра обращений и записей всех бизнесов у Оператора нет; в аналитических разделах Оператору доступны только количественные показатели.

6.1.2. Условия поручения (перечень данных, перечень действий, цели, обязанность конфиденциальности, требования ч. 5 ст. 18 и ст. 18.1, обязанность представлять оператору сведения о принятых мерах и уведомлять его о случаях ч. 3.1 ст. 21) зафиксированы в разделе 9 публичной оферты — smenza.ru/offer.

6.2. Согласие своих клиентов на обработку данных (включая поручение обработки сервису) получает бизнес-оператор. Ответственность перед субъектом за законность обработки несёт бизнес как оператор; сервис отвечает перед бизнесом в рамках поручения и соблюдает конфиденциальность и требования безопасности ст. 19 152-ФЗ.

6.3. Субъект, чьи данные обрабатываются по поручению, вправе обращаться как к бизнесу-оператору (контакты указаны на его странице), так и к сервису (мы передадим обращение бизнесу и окажем техническое содействие).

7. Передача данных третьим лицам

7.1. Персональные данные не продаются и не передаются третьим лицам для их собственных целей. Передача (поручение обработки) осуществляется только в объёме, необходимом для работы сервиса:

• ООО «Таймвэб Клауд» и связанные лица (хостинг, объектное хранилище, Российская Федерация) — размещение серверов, баз данных, файлов и резервных копий;
• ООО «Центральная касса» (ИНН 5903123588, Российская Федерация) — приём оплаты тарифов и передача сведений о расчёте в налоговый орган. Передаются: абонентский номер и адрес электронной почты плательщика, сумма и наименование оплаченного тарифа. Реквизиты банковской карты вводятся на стороне платёжного сервиса и Оператору не передаются и им не хранятся. В отношении этих данных платёжный сервис выступает САМОСТОЯТЕЛЬНЫМ оператором: он обрабатывает их на своём правовом основании (обязанности оператора электронной площадки по Федеральному закону от 27.11.2018 № 422-ФЗ и требования законодательства о национальной платёжной системе), а не по поручению Оператора;
• ООО «ЯНДЕКС» (Российская Федерация) — веб-аналитика «Яндекс Метрика»: сведения о посещениях в составе, описанном в Политике cookie; подключается только после вашего явного согласия через баннер cookie;
• Telegram Messenger Inc. — доставка сообщений: уведомления бизнесу о новых обращениях, напоминания клиентам о визите и работа Telegram-бота идут через мессенджер Telegram. Мессенджер выступает каналом доставки сообщения российскому получателю и не получает данные для собственных целей; трансграничной передачей персональных данных такая доставка не является (п. 11 ст. 3 152-ФЗ — передачей считается передача данных иностранному лицу как получателю). Передаётся минимально необходимый состав; используя Telegram-бот или указывая Telegram как канал связи, вы соглашаетесь с такой доставкой.

7.1.1. Данные плательщика передаются платёжному сервису только при оплате платного Тарифа. Пользователь бесплатного Тарифа платёжному сервису не передаётся вовсе: расчётов с ним не происходит, а значит нет и обязанности передавать сведения о расчёте.

7.2. Данные также могут быть переданы: по мотивированному запросу уполномоченных государственных органов в случаях и порядке, предусмотренных законодательством РФ; при реорганизации/продаже сервиса — правопреемнику с переходом всех обязательств по настоящей Политике; для защиты прав и законных интересов Оператора при нарушении субъектом условий использования сервиса.

7.3. Первичные сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляются с использованием баз данных на территории Российской Федерации (п. 5.3). ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ОПЕРАТОРОМ НЕ ОСУЩЕСТВЛЯЕТСЯ: иностранных получателей, обрабатывающих данные в своих целях, у Оператора нет. Сервисы автоматизированной генерации текстов, привлекаемые для подготовки описаний услуг, персональных данных не получают — контактные данные удаляются из любого исходящего текста автоматически. Если состав получателей когда-либо изменится, Оператор уведомит уполномоченный орган до начала такой передачи и обновит настоящую Политику.

8. Cookie и веб-аналитика

Сайт использует технически необходимые cookie (запоминание темы оформления, фиксация выбора по cookie, защита форм) — они работают всегда, так как без них сайт не функционирует, и не идентифицируют вас как личность.

Для оценки посещаемости может использоваться сервис веб-аналитики «Яндекс Метрика» (ООО «ЯНДЕКС», Россия; данные обрабатываются на территории РФ). Счётчик аналитики загружается ТОЛЬКО после того, как вы явно дадите согласие кнопкой «Принять» на баннере cookie; закрытие баннера согласием не является. До согласия аналитические cookie не устанавливаются и данные не собираются. Запись сессий (вебвизор) выключена.

Полный перечень cookie, сроки их хранения и порядок отключения — в Политике использования cookie: smenza.ru/cookies.

9. Сроки обработки и хранения. Удаление

9.1. Персональные данные обрабатываются до достижения целей обработки либо до отзыва согласия. По умолчанию данные обращений хранятся не более 365 дней с момента поступления, если больший срок не требуется для исполнения договора или закона.

9.2. Данные аккаунтов бизнесов-клиентов хранятся в течение срока действия договора и до 3 (трёх) лет после его прекращения (срок исковой давности и обязанности по учёту), после чего удаляются или обезличиваются.

9.3. По достижении целей, по истечении срока или при отзыве согласия данные удаляются или обезличиваются в срок не более 30 дней, за исключением сведений, срок хранения которых установлен законом. Резервные копии перезаписываются в течение 14 дней с момента удаления данных из основной базы.

10. Права субъекта персональных данных

10.1. Вы вправе:

• получить сведения об обработке своих персональных данных (состав, цели, сроки, источники);
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных в любой момент;
• требовать прекращения передачи (распространения, предоставления, доступа) данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд;
• на возмещение убытков и компенсацию морального вреда в судебном порядке.

10.2. Для реализации прав направьте обращение на maro3ztuva@gmail.com (порядок — на странице «Запросы по данным»: smenza.ru/data-requests). Срок ответа — до 30 дней с момента обращения. Отзыв согласия не влияет на законность обработки до отзыва; при отзыве Оператор вправе продолжить обработку при наличии оснований, предусмотренных ч. 1 ст. 6 152-ФЗ.

11. Меры защиты персональных данных

Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для защиты данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения:

• шифрование каналов связи (HTTPS/TLS на всех страницах и API);
• разграничение доступа: данные каждого бизнеса изолированы, доступ к кабинету — по персональным ключам и кодам, вход подтверждается через Telegram;
• журналирование действий с данными и фактов дачи согласий (дата, время, необратимые хэши технических идентификаторов);
• хранение IP-адресов и сведений о браузере только в виде необратимых хэшей;
• защита форм от автоматизированных злоупотреблений (антиспам-механизмы, ограничение частоты запросов);
• ежедневное резервное копирование в защищённое хранилище на территории РФ и регулярная проверка восстановимости копий;
• ограничение круга лиц, имеющих доступ к данным, обязательства конфиденциальности.

12. Заключительные положения

Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента размещения по адресу smenza.ru/privacy, если иное не указано в самой редакции; дата последнего обновления указывается в документе. К настоящей Политике и связанным с ней отношениям применяется право Российской Федерации.

Вопросы и предложения по настоящей Политике направляйте на maro3ztuva@gmail.com.