Политика в отношении обработки персональных данных

1. Общие положения

Политика определяет, какие персональные данные обрабатывает оператор при работе сервиса «Суперсмета» (далее — сервис), для чего, на каком основании, как долго и как они защищены. Политика составлена во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и опубликована на сайте по требованию части 2 статьи 18.1 Закона.

Оператор персональных данных: ИП Горшков Александр Сергеевич, ИНН 213006456460, ОГРНИП 317213000056420, адрес: 428020, Чувашская Республика, г. Чебоксары, пр. Ивана Яковлева, д. 3, оф. 519. Почта для обращений: info@supersmeta.ru.

Обращения по вопросам обработки персональных данных принимаются по указанной почте.

Термины используются в значениях, определённых статьёй 3 Закона: персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту персональных данных); обработка — любое действие с персональными данными, в том числе сбор, запись, хранение, использование, передача, удаление.

2. Чьи данные, какие и для чего

Оператор обрабатывает данные только для заранее определённых целей и только в объёме, который нужен для этих целей.

2.1. Регистрация и работа учётной записи. Субъекты — пользователи сервиса. Данные: имя, адрес электронной почты, пароль (хранится только в виде необратимого хеша), название компании, которую пользователь создаёт, сведения о входах (дата и время, IP-адрес, сведения о браузере). Основание — согласие субъекта (пункт 1 части 1 статьи 6 Закона) и исполнение пользовательского соглашения, стороной которого является субъект (пункт 5 части 1 статьи 6 Закона).

2.2. Связь с пользователем. Субъекты — пользователи. Данные: адрес электронной почты, имя. Письма: коды подтверждения входа, ссылки для смены пароля, служебные уведомления о работе учётной записи. Рекламные рассылки не ведутся. Основание — то же, что в п. 2.1.

2.3. Безопасность сервиса и предотвращение злоупотреблений. Субъекты — пользователи и посетители страниц входа. Данные: IP-адрес, сведения о браузере, время запросов, адрес электронной почты, введённый в форму входа. Используются для ограничения частоты запросов, защиты от подбора паролей и разбора сбоев. Основание — законный интерес оператора в защите сервиса (пункт 7 части 1 статьи 6 Закона) без нарушения прав субъекта.

2.4. Подтверждение согласия. Сохраняются: адрес электронной почты, редакция документа о согласии, дата и время согласия, IP-адрес и сведения о браузере — чтобы оператор мог подтвердить факт получения согласия (часть 1 статьи 9 Закона).

2.5. Данные, которые пользователь сам вносит в сервис (сметы, контрагенты, поставщики, сотрудники, заказчики и т. п.). Оператором таких данных является пользователь или его компания; оператор сервиса обрабатывает их по поручению пользователя (часть 3 статьи 6 Закона) на условиях пользовательского соглашения — только для того, чтобы хранить их и показывать тем, кому пользователь открыл доступ. Пользователь отвечает за наличие оснований для их обработки.

Специальные категории персональных данных (часть 1 статьи 10 Закона) и биометрические персональные данные не обрабатываются. Решения, порождающие юридические последствия, исключительно на основании автоматизированной обработки не принимаются.

3. Как обрабатываются данные

Обработка смешанная, преимущественно автоматизированная. Действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в пределах раздела 4, блокирование, удаление, уничтожение.

Данные хранятся в базах данных на серверах, расположенных на территории Российской Федерации (часть 5 статьи 18 Закона). Трансграничная передача персональных данных не осуществляется.

Файлы cookie: сервис использует только технически необходимые cookie — для входа в учётную запись и сохранения сеанса. Сервисы веб-аналитики, рекламные и иные сторонние cookie и счётчики не используются.

4. Кому передаются данные

Данные не продаются и не передаются третьим лицам для их собственных целей. Доступ к данным в рамках работы сервиса имеют: хостинг-провайдер, размещающий сервер сервиса на территории Российской Федерации — в объёме, необходимом для размещения сервера и отправки служебных писем; пользователи той же компании в сервисе — в пределах прав, выданных администратором компании.

Данные предоставляются государственным органам только в случаях и в порядке, предусмотренных законодательством Российской Федерации.

5. Сроки обработки и уничтожение

• данные учётной записи (п. 2.1, 2.2) — пока существует учётная запись; после её удаления или отзыва согласия — уничтожаются в течение 30 дней, если иное не требуется законом;
• сведения о входах и технические журналы (п. 2.3) — не дольше 1 года с момента записи;
• сведения о согласии (п. 2.4) — в течение срока действия согласия и 3 лет после его отзыва (срок исковой давности), чтобы подтвердить законность обработки;
• данные, внесённые пользователем (п. 2.5), — пока пользователь хранит их в сервисе; после удаления компании или учётной записи — уничтожаются в течение 30 дней, кроме резервных копий, которые перезаписываются по кругу и уничтожаются не позднее 90 дней.

По достижении цели обработки, при отзыве согласия или выявлении неправомерной обработки оператор прекращает обработку и уничтожает данные в сроки, установленные статьёй 21 Закона.

6. Права субъекта персональных данных

Субъект вправе (статья 14 Закона):

• получить сведения об обработке своих персональных данных: какие данные обрабатываются, для чего, на каком основании, кому передаются, как долго хранятся;
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устаревшие, неточные, получены незаконно или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие оператора в Роскомнадзоре или в суде.

Запрос направляется на почту info@supersmeta.ru с адреса, указанного в учётной записи, или письмом по адресу оператора. В запросе указываются сведения, позволяющие установить субъекта и его отношения с оператором (часть 3 статьи 14 Закона). Оператор отвечает в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах.

Имя и пароль пользователь может изменить сам в настройках профиля и на странице входа.

7. Как данные защищены

Оператор принимает правовые, организационные и технические меры защиты (статья 19 Закона), в том числе:

• передача данных между браузером и сервером — только по защищённому протоколу HTTPS;
• пароли хранятся в виде необратимого хеша, вход подтверждается кодом из письма;
• доступ к данным компании — только участникам этой компании в пределах выданных прав; доступ к серверу — у ограниченного круга лиц по ключам;
• журналирование действий администраторов, ограничение частоты запросов и защита от подбора паролей;
• регулярное резервное копирование и проверка восстановления;
• оценка вреда, который может быть причинён субъектам при нарушении Закона, и внутренний контроль соответствия обработки Закону и этой политике.

При утечке персональных данных оператор уведомляет Роскомнадзор в сроки, установленные частью 3.1 статьи 21 Закона.

8. Заключительные положения

Политика действует бессрочно до замены новой редакцией. Действующая редакция всегда доступна по адресу https://app.supersmeta.ru/privacy. При изменении состава данных, целей или получателей оператор публикует новую редакцию и, если это требует Закон, запрашивает новое согласие.

Оператор — индивидуальный предприниматель; иные вопросы, не урегулированные политикой, решаются по Закону.