Политика обработки персональных данных
Редакция от
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — «Политика») составлена в соответствии с пунктом 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и определяет порядок и условия обработки персональных данных, а также меры по их защите, которые принимает Индивидуальный предприниматель Агаев Самир Расим оглы (ИНН 644154773183, ОГРНИП 324645700065484, адрес: [почтовый адрес для корреспонденции]; далее — «Оператор»).
1.2. Политика применяется ко всем персональным данным, которые Оператор получает от пользователей Сайтов lapot.tech, promo.lapot.tech и сервиса Lapot (далее — «Сервис»), а также от контрагентов и их представителей.
1.3. Оператор внесён в реестр операторов, осуществляющих обработку персональных данных, регистрационный номер [рег. номер в реестре операторов ПДн].
1.4. Политика опубликована в открытом доступе по адресу https://lapot.tech/legal/privacy.html. Оператор вправе изменять Политику; новая редакция вступает в силу с момента публикации, если иное не указано в ней.
1.5. Политика не распространяется на персональные данные, которые пользователи Сервиса размещают и обрабатывают в своих Рабочих областях (например, данные своих клиентов в потоках интеграции с CRM или мессенджерами). В отношении таких данных оператором является пользователь, а Оператор действует по его поручению на условиях Поручения на обработку персональных данных.
2. Термины
Термины «персональные данные», «обработка», «оператор», «субъект персональных данных», «распространение», «предоставление», «блокирование», «уничтожение», «обезличивание», «трансграничная передача» используются в значении, установленном статьёй 3 Закона.
3. Принципы обработки
3.1. Оператор обрабатывает персональные данные законно и справедливо, только для заранее определённых целей и только в объёме, необходимом для этих целей; не объединяет базы данных, обработка которых ведётся в несовместимых целях; обеспечивает точность данных и их актуальность; хранит данные не дольше, чем этого требуют цели обработки, и уничтожает их по достижении целей.
3.2. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные.
3.3. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки его данных.
4. Цели, состав данных и основания обработки
| Цель | Субъекты и данные | Правовое основание | Срок |
|---|---|---|---|
| Регистрация и ведение Учётной записи, предоставление доступа к Сервису, исполнение договора | Пользователи: имя пользователя, адрес электронной почты, номер телефона, хеш пароля, выбранный тариф, сведения о Рабочих областях | Заключение и исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 Закона); согласие (п. 1 ч. 1 ст. 6) | Срок действия Учётной записи и 30 дней после её удаления |
| Проведение расчётов, выдача кассовых чеков, бухгалтерский и налоговый учёт | Пользователи и представители контрагентов: адрес электронной почты, номер телефона, сведения о платежах и списаниях, платёжный токен банковской карты, тип платёжной системы, последние 4 цифры и срок действия карты; для юридических лиц — ФИО и должность представителя, реквизиты | Исполнение договора; исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 Закона; Федеральные законы № 54-ФЗ, № 402-ФЗ, Налоговый кодекс РФ) | 5 лет после окончания года, в котором проведена операция |
| Техническая поддержка и ответы на обращения | Пользователи и лица, обратившиеся к Оператору: имя, адрес электронной почты, содержание обращения и переписки | Исполнение договора; согласие | 3 года после закрытия обращения |
| Служебные уведомления (о списаниях, остановке и удалении Рабочих областей, безопасности), в том числе в мессенджерах, которые пользователь подключил сам | Пользователи: адрес электронной почты, идентификатор чата Telegram или MAX | Исполнение договора; согласие | До отключения канала или удаления Учётной записи |
| Обеспечение безопасности Сервиса, предотвращение мошенничества и нарушений правил использования | Пользователи и посетители: IP-адрес, сведения о браузере и устройстве, дата и время запросов, журнал действий в Учётной записи | Законные интересы Оператора (п. 7 ч. 1 ст. 6 Закона) | 1 год |
| Информирование о новых функциях и специальных предложениях | Пользователи: адрес электронной почты, имя пользователя | Отдельное согласие на получение рекламы (ст. 18 Федерального закона № 38-ФЗ «О рекламе»); без него рассылки не ведутся | До отзыва согласия |
4.1. Номер банковской карты и код её проверки Оператор не получает и не хранит: их вводит пользователь на стороне платёжного провайдера, а Оператору передаётся только обезличенный платёжный токен и сведения, указанные в таблице.
4.2. Оператор не проверяет достоверность данных, которые предоставляет пользователь, и исходит из того, что они достоверны и относятся к самому пользователю.
5. Способы и порядок обработки
5.1. Оператор обрабатывает персональные данные с использованием средств автоматизации и без них, совершая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение.
5.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (часть 5 статьи 18 Закона).
5.3. Оператор не распространяет персональные данные и не предоставляет их неограниченному кругу лиц.
6. Передача персональных данных третьим лицам
6.1. Оператор вправе поручить обработку персональных данных третьим лицам на основании договора, обязывающего их соблюдать принципы и правила обработки, установленные Законом, и обеспечивать конфиденциальность и безопасность данных. Такими лицами являются:
- [наименование хостинг-провайдера (ЦОД в РФ)] — размещение серверного оборудования и хранение данных в центре обработки данных на территории РФ;
- ООО НКО «ЮМани» (сервис ЮKassa) — приём платежей, привязка банковских карт и автоплатежи;
- оператор фискальных данных и сервис онлайн-касс — формирование и отправка кассовых чеков;
- [наименование сервиса отправки почты] — доставка служебных писем.
6.2. Персональные данные предоставляются государственным органам только в случаях и в порядке, предусмотренных законодательством РФ.
7. Трансграничная передача
7.1. Оператор осуществляет трансграничную передачу персональных данных только после уведомления Роскомнадзора в порядке статьи 12 Закона и только в объёме, необходимом для цели передачи.
7.2. Если пользователь подключает служебные уведомления в Telegram, идентификатор чата и текст уведомлений передаются компании Telegram, обрабатывающей данные за пределами РФ. Подключение уведомлений добровольно и может быть отключено в Личном кабинете.
7.3. Передачу данных, которую выполняют потоки в Рабочей области пользователя (например, обращение к зарубежным сервисам искусственного интеллекта), инициирует и определяет сам пользователь как оператор таких данных (см. Поручение).
8. Cookie и аналогичные технологии
Сайты используют только cookie, необходимые для работы Сервиса (сохранение сеанса входа), и локальное хранилище браузера для настроек интерфейса. Подробнее — в Политике использования cookie.
9. Права субъекта персональных данных
9.1. Субъект персональных данных вправе:
- получать сведения об обработке своих персональных данных в объёме, установленном частью 7 статьи 14 Закона;
- требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
- отозвать согласие на обработку персональных данных;
- требовать прекращения обработки данных в целях продвижения товаров и услуг;
- обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.
9.2. Запрос направляется на адрес [email для запросов по ПДн] или по почтовому адресу [почтовый адрес для корреспонденции]. Запрос должен содержать сведения, позволяющие идентифицировать субъекта (например, адрес электронной почты Учётной записи), и сведения о том, что он предоставлял свои данные Оператору.
9.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.
9.4. При отзыве согласия Оператор прекращает обработку и уничтожает данные в течение 30 дней, если иное не предусмотрено договором или законом. Обработка может быть продолжена без согласия при наличии иных оснований, указанных в статье 6 Закона, в частности для исполнения договора и хранения сведений о расчётах.
10. Меры по защите персональных данных
10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона, в том числе:
- назначение ответственного за организацию обработки персональных данных;
- издание локальных актов по вопросам обработки и защиты персональных данных и ознакомление с ними работников;
- определение угроз безопасности и уровня защищённости персональных данных в информационной системе;
- шифрование соединений (TLS), хранение паролей только в виде стойких хешей, шифрование учётных данных интеграций;
- разграничение и журналирование доступа к данным, изоляция Рабочих областей пользователей друг от друга;
- резервное копирование и контроль восстановления данных;
- внутренний контроль соответствия обработки Закону.
10.2. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов и о результатах внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 Закона).
11. Уничтожение персональных данных
11.1. Персональные данные уничтожаются по достижении целей обработки, по истечении сроков, указанных в разделе 4, при отзыве согласия или по требованию субъекта, если обработка неправомерна, — в сроки, установленные статьёй 21 Закона.
11.2. Уничтожение подтверждается актом и выгрузкой из журнала событий в информационной системе в порядке, утверждённом Роскомнадзором.
12. Контакты
Ответственный за организацию обработки персональных данных: Агаев Самир Расим оглы. Адрес для обращений: [email для запросов по ПДн], почтовый адрес: [почтовый адрес для корреспонденции].