Политика обработки персональных данных

1.Общие положения

1.1.Настоящая Политика определяет порядок обработки и защиты персональных данных в веб-сервисе «РасКП» (https://app.raskp.ru, далее – Сервис), оператором которого является индивидуальный предприниматель Шелест Максим Евгеньевич (далее – Оператор).

1.2.Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных).

1.3.Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

2.Основные понятия, используемые в Политике

2.1.Сервис – веб-сервис «РасКП» по адресу https://app.raskp.ru, предназначенный для составления смет и коммерческих предложений.

2.2.Оператор – юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав обрабатываемых персональных данных и действия, совершаемые с ними.

2.3.Пользователь – дееспособное лицо старше 18 лет, регистрирующее аккаунт в Сервисе.

2.4.Закон о персональных данных – Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных».

2.5.Персональные данные – любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных). Сведения, по которым конкретного человека определить нельзя, персональными данными не являются. Адрес электронной почты может относиться к персональным данным, если по нему прямо или косвенно можно определить физическое лицо. Оценка зависит от конкретного адреса и контекста его использования.

2.6.IP-адрес – уникальный сетевой адрес устройства в сети.

2.7.Cookie – фрагмент данных, отправленный веб-сервером и хранимый в браузере пользователя, который каждый раз пересылается веб-серверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.

2.8.Обработка персональных данных – любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без их использования с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.9.Субъект персональных данных – физическое лицо, чьи персональные данные обрабатываются Оператором.

2.10.Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

2.11.Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2.12.Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства, органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

2.13.Уничтожение персональных данных – любые действия, в результате которых персональные данные уничтожаются безвозвратно с невозможностью дальнейшего восстановления содержания персональных данных в информационной системе персональных данных и/или уничтожаются материальные носители персональных данных.

3.Категории и перечень обрабатываемых данных

3.1.Категории субъектов, персональные данные которых обрабатываются:

пользователи Сервиса – когда они сами сообщили сведения, по которым можно определить человека;
клиенты пользователей – лица, данные которых пользователь вносит в проекты и коммерческие предложения;
иные лица, которые взаимодействуют с Оператором: посетители сайта Сервиса и публичной ссылки на коммерческое предложение, лица, направившие письмо на support@raskp.ru.

3.2.Категории и перечень обрабатываемых персональных данных:

3.2.1.Данные аккаунта, которые могут относиться к персональным данным в зависимости от содержания и контекста использования:

адрес электронной почты (email) – для регистрации, входа и отправки писем;
служебные сведения аккаунта – данные, необходимые для работы аккаунта в Сервисе;
персональные данные пользователя – только сведения, которые он сам сообщил и по которым можно определить человека. Текст и вложения писем на support@raskp.ru относятся к ним, если в письме есть такие сведения (например, имя и телефон). Адрес, с которого отправлено письмо, является персональными данными, если позволяет прямо или косвенно определить физическое лицо. Отдельной службы поддержки в Сервисе нет: письма остаются в почтовом ящике support@raskp.ru и в базу Сервиса не записываются. По запросу человека Оператор удаляет из ящика письма, по которым этого человека можно определить;
документы и графические файлы, которые пользователь загружает, – персональные данные только в той части, в которой по ним можно определить человека. Изображение подписи или печати для идентификации личности не используется (п. 3.5).

3.2.2.Технические данные, сведения о пользовательских устройствах и действиях. Для обеспечения корректной работы Сервиса, авторизации и защиты Оператор обрабатывает технические данные, которые автоматически передаются устройством Пользователя:

сетевой адрес (IP-адрес) – для ограничения частоты запросов при входе, сбросе пароля, открытии публичной ссылки и формировании PDF;
на странице регистрации – IP-адрес, одноразовый токен и технические сведения об устройстве и браузере, которые сервис Yandex SmartCaptcha использует, чтобы отличить человека от автоматического скрипта. Эти сведения получает ООО «Яндекс.Облако» (раздел 8). Оператор одноразовый токен после проверки не сохраняет;
cookie сессии – для поддержания входа в аккаунт, пока пользователь не вышел;
cookie, которая запоминает ввод пароля публичной ссылки – 12 часов;
сведения о браузере, типе устройства и операционной системе – только если они попадают в технические журналы веб-сервера;
служебные отметки времени запросов в этих журналах. Отдельный учёт действий пользователя в интерфейсе Оператор не ведёт.

3.2.3.Персональные данные третьих лиц (клиентов пользователя). Пользователь самостоятельно вносит в интерфейс Сервиса сведения о своих клиентах (имя или название, контактное лицо, телефон, адрес электронной почты, адрес, реквизиты и иной текст сметы или коммерческого предложения). Персональными данными эти сведения являются, когда по ним можно определить человека. Адрес электронной почты клиента может относиться к персональным данным, если позволяет прямо или косвенно определить физическое лицо. Оператор обрабатывает сведения, по которым человека можно определить, по поручению пользователя (ч. 3 ст. 6 Закона о персональных данных). Порядок обработки описан в разделе 6.

3.2.4.Оператор не запрашивает специальные категории персональных данных (расовая и национальная принадлежность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь, судимость) и биометрические персональные данные. Пользователь обязуется не вносить такие сведения в сметы, коммерческие предложения и другие поля Сервиса. Если они всё же попали в текст проекта, пользователь сам их удаляет. До удаления Оператор хранит их только как часть этого текста по поручению пользователя и не использует их для своих целей.

3.3.Трансграничная передача персональных данных Оператором не осуществляется.

3.4.Оператор не обрабатывает биометрические персональные данные.

3.5.Пользователь может загрузить в проект изображение своей подписи или печати (факсимиле) для включения в формируемые документы. Такое изображение не является биометрическими персональными данными в смысле ст. 11 Закона о персональных данных, так как используется для воспроизведения подписи в документах, а не для идентификации личности.

4.Цели обработки

4.1.Оператор обрабатывает персональные данные в следующих целях:

Цель	Данные	Основание
Заключение и исполнение договора с пользователем: регистрация и вход, доступ к функциям Сервиса, письма подтверждения регистрации и сброса пароля, уведомления об изменении Условий открытого теста и о дате его окончания	Адрес электронной почты аккаунта, служебные сведения аккаунта	Договор (п. 5 ч. 1 ст. 6), Условия открытого теста (п. 3)
Обеспечение безопасности и работоспособности Сервиса: ограничение частоты запросов при входе, сбросе пароля, открытии публичной ссылки и формировании PDF	IP-адрес	Законный интерес (п. 7 ч. 1 ст. 6)
Проверка, что регистрацию проходит человек, а не автоматический скрипт	IP-адрес, одноразовый токен проверки, технические сведения об устройстве и браузере	Законный интерес (п. 7 ч. 1 ст. 6)
Ответы на письма на support@raskp.ru	Сведения в письме и во вложениях, по которым можно определить человека. Адрес отправителя является персональными данными, если по нему прямо или косвенно можно определить физическое лицо	Договор (п. 5 ч. 1 ст. 6) – для писем пользователей; законный интерес (п. 7 ч. 1 ст. 6) – для писем лиц без аккаунта
Обеспечение работы функций Сервиса	Данные клиентов пользователя, в том числе в составе PDF и Excel (раздел 6)	Поручение (ч. 3 ст. 6)
Показ КП по публичной ссылке, включённой пользователем	Данные клиентов пользователя	Поручение (ч. 3 ст. 6)
Формирование PDF и Excel по команде пользователя	Логотипы, изображения и факсимиле пользователя	Договор (п. 5 ч. 1 ст. 6)
Запоминание пароля публичной ссылки	Cookie, которая запоминает ввод пароля публичной ссылки	Законный интерес (п. 7 ч. 1 ст. 6)

4.2.Оператор не использует персональные данные в целях, не указанных в настоящем разделе.

5.Правовые основания обработки

5.1.Правовую основу обработки персональных данных составляют следующие нормативные правовые акты:

Конституция Российской Федерации;
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
договоры, заключаемые между Оператором и субъектами персональных данных;
согласия субъектов персональных данных на обработку персональных данных;
иные нормативные правовые акты Российской Федерации и нормативные документы уполномоченных органов государственной власти.

5.2.Адрес электронной почты аккаунта, технические идентификаторы и сведения об использовании Сервиса оцениваются с учётом содержания и контекста: если они позволяют прямо или косвенно определить физическое лицо, они обрабатываются как персональные данные. Данные, необходимые для регистрации, входа и предоставления функций Сервиса, обрабатываются для заключения и исполнения договора с пользователем (Условия открытого теста).

5.3.IP-адрес для ограничения частоты запросов и cookie, которая запоминает ввод пароля публичной ссылки, обрабатываются на основании законного интереса оператора (п. 7 ч. 1 ст. 6 Закона о персональных данных), если при этом не нарушаются права и свободы субъекта персональных данных. На том же основании на странице регистрации обрабатываются IP-адрес, одноразовый токен и технические сведения об устройстве и браузере: чтобы отличить человека от автоматического скрипта. Эти сведения получает ООО «Яндекс.Облако» (раздел 8). Посетитель публичной ссылки – отдельная категория: у него нет аккаунта.

5.4.Данные клиентов пользователя обрабатываются по поручению пользователя (ч. 3 ст. 6 Закона о персональных данных). Состав поручения – в разделе 5 Условий открытого теста и кратко в разделе 6 настоящей Политики. Пользователь является оператором этих данных.

5.5.Пользователь даёт отдельное согласие на обработку сведений, которые он добровольно сообщает Оператору сверх данных аккаунта (например, имя и телефон в письме на support@raskp.ru), в целях рассмотрения обращений и связи с пользователем – по тексту Согласия. Где в настоящей Политике указаны договор, законный интерес или поручение, применяется это основание. Согласие его не подменяет. Отзыв согласия не прекращает обработку по этим основаниям и не удаляет аккаунт. Письма на support@raskp.ru Оператор обрабатывает для исполнения договора с пользователем (п. 5 ч. 1 ст. 6 Закона о персональных данных). Если письмо направил человек без аккаунта, Оператор обрабатывает сведения в письме для ответа на обращение на основании законного интереса (п. 7 ч. 1 ст. 6 Закона о персональных данных).

6.Порядок обработки данных клиентов пользователя

6.1.Сервис – инструмент. Пользователь сам решает, чьи данные вносить в смету или КП, зачем и кому отправлять КП.

6.2.Пользователь, который вносит данные своих клиентов, является оператором этих данных. Он сам отвечает за наличие законного основания их обрабатывать и передавать, например договора с клиентом или согласия клиента.

6.3.Оператор обрабатывает данные клиентов пользователя по поручению пользователя (ч. 3 ст. 6 Закона о персональных данных). Поручение на обработку данных клиентов пользователя дано в разделе 5 Условий открытого теста: состав данных, действия с ними, цели, конфиденциальность, меры защиты, привлекаемые лица, уведомление об инцидентах и удаление.

6.4.Оператор не использует данные клиентов пользователя в своих целях, не связывается с ними и не передаёт их третьим лицам, кроме ООО «МВС Облачные решения», почтового сервиса в случае письма на support@raskp.ru и случаев, прямо предусмотренных законом. Оператор не извлекает эти данные для собственных целей и не сопоставляет их с аккаунтами других пользователей: он обрабатывает их как часть контента пользователя.

6.5.Если клиент пользователя обращается напрямую к Оператору, Оператор:

сообщает, что оператором его данных является пользователь Сервиса, который внёс эти данные;
перенаправляет запрос пользователю для самостоятельного рассмотрения и ответа;
действует по письменной инструкции пользователя в части технического удаления данных, если пользователь не может удалить их самостоятельно через функционал Сервиса.

Оператор не осуществляет самостоятельный поиск данных клиентов пользователя по базе Сервиса.

7.Меры защиты

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ними, в том числе:

обработку персональных данных осуществляет Оператор лично; доступ к персональным данным предоставляется только поставщикам услуг из раздела 8 в объёме, необходимом для оказания ими услуг, на основании договоров, предусматривающих конфиденциальность;
определение угроз безопасности персональных данных при их обработке в информационной системе персональных данных;
применение организационных и технических мер по обеспечению безопасности персональных данных, установленных Постановлением Правительства РФ от 01.11.2012 № 1119 и приказом ФСТЭК России от 18.02.2013 № 21;
установление правил доступа к персональным данным: пользователь Сервиса имеет доступ только к данным собственного аккаунта и собственным проектам; разграничение доступа обеспечивается техническими средствами Сервиса;
обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по их устранению;
ограничение частоты запросов при входе, сбросе пароля, открытии публичной ссылки и формировании PDF, а также проверка регистраций сервисом Yandex SmartCaptcha с целью защиты от автоматизированных действий;
защищённое соединение (TLS) для передачи данных между браузером и Сервисом;
хранение паролей в виде необратимого хэша, а не в открытом виде;
размещение баз данных, используемых для обработки персональных данных граждан Российской Федерации, на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных);
периодический контроль соответствия обработки персональных данных требованиям законодательства Российской Федерации в области персональных данных и настоящей Политики;
оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения законодательства в области персональных данных;
ознакомление с настоящей Политикой и Условиями открытого теста лиц, которым предоставляется доступ к персональным данным;
рассмотрение запросов субъектов персональных данных в сроки, установленные законодательством Российской Федерации.

8.Получатели и третьи лица

8.1.Оператор передаёт персональные данные следующим третьим лицам:

ООО «МВС Облачные решения» (MWS Cloud Platform, включая объектное хранилище MWS Cloud Platform – Object Storage) — предоставляет облачную инфраструктуру, на которой работают Сервис, базы данных и хранилище файлов. На этой инфраструктуре обрабатываются данные аккаунта, содержимое проектов, в том числе сведения о клиентах пользователя, загруженные файлы и технические журналы;
ООО «РЕГ.РУ» — почтовый ящик support@raskp.ru и доставка писем Сервиса. Ему доступны письма, которые приходят на support@raskp.ru, письма подтверждения регистрации и сброса пароля на адрес аккаунта, а также технические сведения, нужные для доставки. Адрес электронной почты и содержимое письма могут относиться к персональным данным в зависимости от контекста;
ООО «Яндекс.Облако» (сервис Yandex SmartCaptcha) — на странице регистрации проверяет, что запрос отправил человек, а не автоматический скрипт. Для проверки ему доступны IP-адрес, одноразовый токен и технические сведения об устройстве и браузере: признаки браузера, адрес страницы, с которой открыта форма, часовой пояс и цифровой отпечаток устройства. Адрес электронной почты и пароль в эту проверку не входят. Яндекс хранит эти сведения 60 дней на серверах в Российской Федерации и использует их, чтобы сервис проверки работал и чтобы его улучшать. Подробности — в уведомлении Яндекса: https://yandex.ru/legal/smartcaptcha_notice/ru/. Оператор одноразовый токен после проверки не сохраняет.

Передача осуществляется на основании договоров, предусматривающих соблюдение конфиденциальности.

9.Сроки хранения и порядок уничтожения персональных данных

Категория данных	Срок хранения	Условие удаления
Данные аккаунта (адрес электронной почты, служебные сведения аккаунта; статус персональных данных определяется с учётом контекста)	До удаления аккаунта	Запрос на support@raskp.ru
Проекты, файлы, факсимиле	До удаления проекта или аккаунта	Команда пользователя или запрос на удаление
PDF	Не хранится	Не сохраняется – формируется по запросу
Письма на support@raskp.ru	В почтовом ящике support@raskp.ru. В базу Сервиса не записываются	По запросу человека удалить его данные – только письма, по которым этого человека можно определить
Cookie сессии	Пока пользователь не вышел из аккаунта	Выход из аккаунта
Технические сведения проверки на странице регистрации	У Оператора не хранятся. У ООО «Яндекс.Облако» – 60 дней с даты сбора	Одноразовый токен не сохраняется после проверки

9.1.Пользователь направляет запрос на support@raskp.ru. Оператор удаляет аккаунт в течение 7 рабочих дней с даты получения запроса. В этот срок Оператор удаляет проекты пользователя, загруженные файлы и запись о согласии, принятии Условий и ознакомлении с Политикой, затем сам аккаунт. Проект пользователь может удалить в Сервисе сам. Сроки хранения категорий данных указаны в таблице выше. Регулярные резервные копии не создаются.

9.2.При достижении целей обработки персональных данных или в случае утраты необходимости в их достижении Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 (тридцати) календарных дней, если иное не предусмотрено договором, стороной которого является Пользователь, иным соглашением между Оператором и Пользователем либо законодательством Российской Федерации. Обезличивание персональных данных Оператором не осуществляется.

В случае прекращения Оператором деятельности в качестве индивидуального предпринимателя цели обработки персональных данных в Сервисе отпадают. В этом случае персональные данные подлежат уничтожению в аналогичном порядке и в те же сроки, за исключением сведений, обязанность по хранению которых возложена на Оператора законодательством Российской Федерации.

10.Информационное уведомление

10.1.Оператор уведомляет пользователей о факте обработки персональных данных через настоящую Политику, размещённую на странице Сервиса. При регистрации пользователю предоставляется ссылка на Политику.

11.Права субъектов

11.1.Субъект персональных данных имеет право:

на доступ к своим персональным данным;
на уточнение, блокирование, уничтожение персональных данных;
требовать прекращения неправомерной обработки персональных данных;
на отзыв согласия;
обжаловать действия Оператора в Роскомнадзор или в суд;
на защиту своих прав и законных интересов, включая возмещение убытков и (или) компенсацию морального вреда (ст. 17 Закона о персональных данных).

11.2.Отзыв согласия прекращает обработку, основанную только на Согласии. Аккаунт и письма на support@raskp.ru этот отзыв не удаляет. По запросу человека Оператор удаляет из ящика support@raskp.ru письма, по которым этого человека можно определить. Письма, по которым человека определить нельзя, не разыскиваются. Такое удаление не удаляет аккаунт и не останавливает уведомления об открытом тесте. Для удаления аккаунта необходимо направить отдельный запрос на support@raskp.ru.

11.3.Запросы направляются на support@raskp.ru. В запросе субъект указывает email, по которому зарегистрирован аккаунт.

11.4.Если клиент пользователя обращается напрямую к Оператору – порядок ответа описан в разделе 6.

12.Изменение Политики и применимое право

12.1.Оператор имеет право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на странице Сервиса, если иное не предусмотрено новой редакцией. Действующая редакция постоянно доступна на странице Сервиса. При существенных изменениях Сервис уведомляет пользователей.

12.2.К настоящей Политике и отношениям между пользователем и Оператором, возникающим в связи с применением Политики, подлежит применению право Российской Федерации.

13.Контакты

Индивидуальный предприниматель Шелест Максим Евгеньевич

ИНН 301302920893, ОГРНИП 326784700217258

г. Санкт-Петербург

support@raskp.ru