1. Общие положения
1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных физических лиц (далее — Субъекты) и разработана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).
1.2. Оператором персональных данных является индивидуальный предприниматель Нефёдкина Елена Анатольевна, ОГРНИП 326527500044808, ИНН 525807157358, адрес: 607611, Нижегородская область, Богородский район, тер. КП Бурцево, ул. Тополиная, д. 4 (далее — Оператор).
1.3. Политика применяется ко всем персональным данным, которые Оператор получает в связи с работой Сервиса Vernedo, включая сайт vernedo.ru и личный кабинет os.vernedo.ru.
1.4. Настоящая Политика является односторонним документом Оператора. Она доводится до сведения Субъектов и подлежит применению независимо от факта ознакомления с ней. Ознакомление с Политикой не заменяет согласие на обработку персональных данных: согласие, когда оно требуется, даётся Субъектом отдельно, в порядке раздела 4 настоящей Политики.
1.5. Политика не может содержать положений, ограничивающих права Субъектов, и не содержит их.
1.6. Сервис не предназначен для лиц, не достигших восемнадцати лет. Персональные данные несовершеннолетних Оператор не обрабатывает. При выявлении факта регистрации несовершеннолетнего учётная запись блокируется, а данные уничтожаются.
2. Основные понятия
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.
Субъект персональных данных — физическое лицо, к которому относятся персональные данные.
Пользователь — физическое лицо, зарегистрированное в Сервисе.
Заказчик — лицо, заключившее с Оператором договор об оказании услуг, в том числе путём акцепта публичной оферты.
Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
3. Категории персональных данных, цели и правовые основания
Оператор обрабатывает персональные данные для каждой цели в объёме, минимально необходимом для её достижения.
3.1. Данные, предоставляемые при регистрации и оказании услуг
| Данные | Цель обработки | Правовое основание |
|---|---|---|
| Фамилия, имя, отчество либо наименование организации | Идентификация Пользователя, оформление документов, обращение к нему | Пункт 5 части 1 статьи 6 Закона — исполнение договора, стороной которого является Субъект |
| Адрес электронной почты | Аутентификация, направление уведомлений о работе Сервиса, направление документов | Пункт 5 части 1 статьи 6 Закона |
| Номер телефона | Верификация при регистрации, предотвращение злоупотреблений, связь по вопросам обслуживания | Пункт 5 части 1 статьи 6 Закона; в части предотвращения злоупотреблений — пункт 7 части 1 статьи 6 Закона (законный интерес Оператора) |
| Должность | Настройка интерфейса, корректное обращение | Согласие Субъекта |
| Имя пользователя и идентификатор чата в мессенджере Telegram | Направление уведомлений по запросу Пользователя | Согласие Субъекта |
Пояснение о правовых основаниях. Данные, без которых невозможно заключить и исполнить договор об оказании услуг, обрабатываются на основании пункта 5 части 1 статьи 6 Закона и не требуют отдельного согласия. Согласие требуется только для целей, выходящих за пределы договора: направления уведомлений в мессенджере и получения рекламных сообщений. Отказ от такого согласия не препятствует пользованию Сервисом.
3.2. Данные, формируемые автоматически
| Данные | Цель обработки | Правовое основание |
|---|---|---|
| IP-адрес | Обеспечение безопасности, предотвращение несанкционированного доступа | Пункт 7 части 1 статьи 6 Закона |
| Дата и время входа, сведения о попытках входа | Обеспечение безопасности, расследование инцидентов | Пункт 7 части 1 статьи 6 Закона |
| Технические характеристики браузера и устройства | Корректное отображение Сервиса, предотвращение множественной регистрации для повторного получения пробного периода | Пункт 7 части 1 статьи 6 Закона |
| Сведения о факте и содержании согласий: дата, время, IP-адрес, версия документа, текст отметки | Подтверждение факта получения согласия | Пункт 7 части 1 статьи 6 Закона; обязанность подтверждения — часть 3 статьи 9 Закона |
3.3. Данные третьих лиц, вносимые Пользователем
При использовании Сервиса Пользователь может вносить сведения о представителях своей организации и о привлечённых экспертах: имя, должность, контактные данные.
В отношении таких данных оператором является Заказчик, а Оператор обрабатывает их по поручению Заказчика в соответствии с частью 3 статьи 6 Закона. Условия поручения размещены по адресу vernedo.ru/dpa и являются его неотъемлемой частью.
Заказчик обязан обеспечить наличие правовых оснований для передачи таких данных Оператору и уведомить соответствующих лиц об обработке.
В силу части 5 статьи 6 Закона ответственность перед Субъектом за действия Оператора, обрабатывающего данные по поручению, несёт Заказчик; Оператор отвечает перед Заказчиком.
3.4. Данные о платежах
Оператор не собирает и не хранит реквизиты банковских карт. Приём платежей осуществляется платёжным сервисом, являющимся самостоятельным оператором персональных данных. Оператор получает сведения о факте, сумме, статусе платежа и идентификаторе операции.
Кассовый чек формируется Оператором самостоятельно и направляется Субъекту в электронной форме на адрес электронной почты либо абонентский номер, указанные до момента расчёта, в порядке Федерального закона от 22.05.2003 № 54-ФЗ.
3.5. Что Оператор не обрабатывает
Оператор не обрабатывает специальные категории персональных данных (расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь, судимость), биометрические персональные данные и персональные данные несовершеннолетних.
Оператор не принимает решений, порождающих юридические последствия в отношении Субъекта, исключительно на основании автоматизированной обработки персональных данных.
4. Согласие на обработку персональных данных
4.1. Там, где обработка осуществляется на основании согласия, согласие Субъекта оформляется отдельно от иных информации и документов, которые Субъект подтверждает или подписывает, как того требует часть 1 статьи 9 Закона.
4.2. При регистрации в Сервисе Субъекту предъявляются отдельные, не предустановленные отметки:
- принятие условий Публичной оферты и Пользовательского соглашения;
- согласие на обработку персональных данных (текст — vernedo.ru/consent);
- согласие на получение рекламных и информационных сообщений (текст — vernedo.ru/consent-ads) — необязательное, отказ не влияет на возможность пользования Сервисом.
4.3. Факт предоставления каждого согласия фиксируется Оператором с указанием идентификатора Пользователя, даты и времени, IP-адреса, версии документа и текста отметки. Хранение этих сведений — способ подтверждения факта получения согласия.
4.4. Согласие может быть отозвано в любой момент через личный кабинет либо направлением заявления на адрес privacy@vernedo.ru.
4.5. Отзыв согласия прекращает обработку, осуществляемую на его основании. Обработка данных, необходимых для исполнения заключённого договора, а также данных, хранение которых обязательно в силу закона, продолжается на соответствующих правовых основаниях. Данные, обрабатываемые исключительно на основании отозванного согласия, уничтожаются в срок, не превышающий тридцати дней (часть 5 статьи 21 Закона).
5. Порядок и условия обработки
5.1. Обработка осуществляется с использованием средств автоматизации и без использования таких средств.
5.2. Оператор осуществляет обработку следующими способами: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача уполномоченным лицам, обезличивание, блокирование, удаление, уничтожение.
5.3. Оператор не передаёт персональные данные органам власти иностранных государств, иностранным физическим и иностранным юридическим лицам в целях, не связанных с функционированием технической инфраструктуры Сервиса.
5.4. Уровень защищённости персональных данных при их обработке в информационной системе Оператора определён как четвёртый в соответствии с пунктом 12 Требований, утверждённых постановлением Правительства Российской Федерации от 01.11.2012 № 1119.
6. Передача персональных данных третьим лицам
6.1. Оператор передаёт персональные данные третьим лицам исключительно в объёме, необходимом для оказания услуг:
| Кому | Какие данные | Зачем |
|---|---|---|
| Платёжный сервис | Сумма, идентификатор платежа, адрес электронной почты, абонентский номер | Приём оплаты и формирование фискальных документов |
| Сервис отправки коротких сообщений | Номер телефона, код подтверждения | Верификация номера |
| Мессенджер Telegram | Идентификатор чата, текст уведомления | Направление уведомлений по запросу Пользователя |
| Хостинг-провайдер | Данные в составе информационной системы | Размещение Сервиса |
6.2. Передача осуществляется на основании поручения на обработку персональных данных либо условий договора, предусматривающих обязанность соблюдения конфиденциальности и требований статьи 19 Закона.
6.3. Оператор не продаёт, не сдаёт в аренду и не передаёт персональные данные третьим лицам в маркетинговых целях.
6.4. Персональные данные могут быть переданы государственным органам по основаниям и в порядке, установленным законодательством Российской Федерации.
7. Сроки обработки и хранения
| Категория данных | Срок хранения |
|---|---|
| Данные учётной записи | Срок использования Сервиса и 1 год после последнего входа |
| Данные, необходимые для бухгалтерского и налогового учёта | 5 лет с момента совершения операции |
| Журналы входа и IP-адреса | 6 месяцев |
| Коды подтверждения входа | 24 часа |
| Идентификатор сессии | 30 дней |
| Неиспользованные приглашения | 90 дней |
| Данные, обрабатываемые для предотвращения злоупотреблений | 1 год, далее обезличивание |
| Заявки на регистрацию | 1 год |
| Сведения о факте согласий | Срок действия согласия и 3 года после его прекращения |
| Резервные копии | 12 месяцев |
По истечении срока данные уничтожаются либо обезличиваются в порядке раздела 8.
8. Порядок уничтожения персональных данных
8.1. Плановое уничтожение производится автоматически средствами информационной системы по истечении сроков, установленных разделом 7.
8.2. Факт уничтожения подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе, как этого требуют Требования, утверждённые приказом Роскомнадзора от 28.10.2022 № 179. Указанные документы хранятся не менее трёх лет.
8.3. О резервных копиях. Персональные данные удаляются из рабочей информационной системы незамедлительно по наступлении основания для уничтожения. Из резервных копий данные выбывают по мере плановой ротации копий, в срок, не превышающий двенадцати месяцев. В течение этого срока доступ к резервным копиям ограничен и используется исключительно для восстановления работоспособности Сервиса.
9. Права Субъекта персональных данных
9.1. Субъект вправе:
- получать сведения об обработке своих персональных данных: подтверждение факта обработки, правовые основания и цели, применяемые способы, сроки, перечень обрабатываемых данных и источник их получения, сведения о лицах, имеющих доступ, а также информацию о способах исполнения Оператором обязанностей, установленных статьёй 18.1 Закона;
- требовать уточнения персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных;
- требовать прекращения обработки персональных данных;
- обжаловать действия или бездействие Оператора в Роскомнадзор либо в судебном порядке;
- на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.
9.2. Порядок реализации прав. Запрос направляется на адрес privacy@vernedo.ru либо через личный кабинет. Запрос должен содержать: номер основного документа, удостоверяющего личность Субъекта или его представителя, сведения о дате выдачи и выдавшем органе; сведения, подтверждающие участие Субъекта в отношениях с Оператором (адрес электронной почты учётной записи, номер и дату договора либо иные сведения), либо сведения, иным образом подтверждающие факт обработки; подпись Субъекта или его представителя. Запрос может быть направлен в форме электронного документа с электронной подписью.
9.3. Оператор рассматривает запрос и направляет ответ в течение десяти рабочих дней с даты его получения. Срок может быть продлён не более чем на пять рабочих дней с направлением Субъекту мотивированного уведомления с указанием причин продления (часть 3 статьи 14 Закона).
9.4. Требование об уточнении, блокировании или уничтожении персональных данных исполняется в течение семи рабочих дней со дня представления Субъектом сведений, подтверждающих его обоснованность (часть 3 статьи 20 Закона).
9.5. Повторный запрос о тех же сведениях может быть направлен не ранее чем через тридцать дней после первоначального, за исключением случая, когда сведения не были предоставлены в полном объёме.
9.6. Оператор вправе отказать в удовлетворении запроса только по основаниям, установленным Законом, с направлением мотивированного ответа.
9.7. По требованию Субъекта Оператор предоставляет выгрузку обрабатываемых персональных данных в машиночитаемом формате.
10. Меры защиты персональных данных
Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий.
Организационные меры:
- назначено лицо, ответственное за организацию обработки персональных данных;
- утверждены Политика и локальные акты, определяющие для каждой цели обработки категории и перечень данных, категории субъектов, способы, сроки обработки и хранения, порядок уничтожения;
- проведена оценка вреда, который может быть причинён Субъектам, в соответствии с требованиями, утверждёнными приказом Роскомнадзора от 27.10.2022 № 178; результаты оформлены актом;
- осуществляется внутренний контроль соответствия обработки требованиям законодательства;
- доступ к персональным данным предоставляется в объёме, минимально необходимом для исполнения обязанностей;
- лица, допущенные к обработке, ознакомлены с требованиями законодательства и внутренними регламентами и подписали обязательство о неразглашении;
- ведётся учёт лиц, допущенных к обработке;
- оценка эффективности реализованных мер проводится не реже одного раза в три года.
Технические меры:
- передача данных между Пользователем и Сервисом осуществляется по защищённому протоколу с шифрованием;
- пароли хранятся исключительно в виде необратимых криптографических преобразований;
- ключи доступа к внешним сервисам хранятся в зашифрованном виде;
- доступ к данным разграничен по ролям, каждая операция проверяется на стороне сервера;
- ведётся журнал регистрации событий, включая события создания, изменения и уничтожения персональных данных, а также журнал доступа сотрудников к персональным данным;
- выполняется резервное копирование с хранением копий в зашифрованном виде;
- применяются меры противодействия автоматизированному подбору учётных данных.
11. Реагирование на инциденты
11.1. При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав Субъектов, Оператор уведомляет Роскомнадзор:
- в течение двадцати четырёх часов с момента выявления инцидента — о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде, принятых мерах по устранению последствий, а также о лице, уполномоченном на взаимодействие с Роскомнадзором;
- в течение семидесяти двух часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента, при их наличии.
11.2. При установлении факта неправомерной обработки персональных данных Оператор прекращает такую обработку в срок, не превышающий трёх рабочих дней, и уничтожает соответствующие данные в срок, не превышающий десяти рабочих дней, уведомив об этом Субъекта.
11.3. Если инцидент создаёт риск для прав Субъектов, Оператор уведомляет затронутых Субъектов.
12. Заключительные положения
12.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента размещения по адресу vernedo.ru/privacy, если иное не предусмотрено новой редакцией.
12.2. Существенные изменения доводятся до Пользователей по адресу электронной почты не менее чем за десять дней до вступления в силу. Если изменения затрагивают объём или цели обработки, осуществляемой на основании согласия, согласие запрашивается заново.
12.3. Архив предыдущих редакций Политики доступен по запросу на адрес privacy@vernedo.ru.
12.4. Все предложения и вопросы по настоящей Политике направляются на адрес privacy@vernedo.ru.
Реквизиты Оператора
Индивидуальный предприниматель Нефёдкина Елена Анатольевна
ОГРНИП: 326527500044808 ИНН: 525807157358 Адрес: 607611, Нижегородская область, Богородский район, тер. КП Бурцево, ул. Тополиная, д. 4 Электронная почта: support@vernedo.ru Электронная почта для обращений по вопросам обработки персональных данных: privacy@vernedo.ru Телефон: +7 965 396-29-76
Лицо, ответственное за организацию обработки персональных данных: Нефёдкина Елена Анатольевна, privacy@vernedo.ru, +7 965 396-29-76