Политика в отношении обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые сервисом Autodocks (Автодокументы) (далее — «Оператор»).

1. Основные понятия

В настоящей Политике используются следующие основные понятия:

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
Оператор — владелец сервиса Autodocks (Автодокументы), самостоятельно или совместно с другими лицами организующий обработку персональных данных.
Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.
Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
Обезличивание — действия, в результате которых невозможно определить принадлежность персональных данных конкретному субъекту.

2. Принципы обработки персональных данных

Обработка персональных данных осуществляется на основе следующих принципов:

Законность и справедливая основа обработки
Ограничение обработки достижением конкретных, заранее определенных и законных целей
Недопустимость объединения баз данных, содержащих персональные данные, обрабатываемых в несовместимых целях
Соответствие содержания и объема персональных данных заявленным целям обработки
Точность, достаточность и актуальность персональных данных
Хранение персональных данных не дольше, чем этого требуют цели обработки

3. Категории субъектов и состав персональных данных

3.1. Пользователи Сервиса

Оператор обрабатывает следующие категории персональных данных:

Адрес электронной почты
Имя и фамилия (опционально)
Идентификатор Яндекс-аккаунта (при авторизации через Яндекс ID)
IP-адрес, данные о браузере и устройстве
Информация о тарифном плане и платежах

При использовании Пользователем Telegram-ботов Сервиса (бот технической поддержки и бот генерации документов) Оператор обрабатывает следующие категории данных: идентификатор профиля Telegram (Telegram ID), имя пользователя (Username), имя и фамилия (указанные в аккаунте мессенджера), тексты сообщений и запросов, а также персональные данные, вводимые Пользователем в диалоговое окно бота для формирования документов.

3.2. Контрагенты (вводятся Пользователем)

Пользователь может вносить в Сервис персональные данные третьих лиц (контрагентов). Добавляя данные контрагентов, Пользователь поручает Оператору обработку таких персональных данных в соответствии со ст. 6 ч. 3 Федерального закона № 152-ФЗ исключительно в целях, указанных в разделе 4 настоящей Политики, и подтверждает наличие законных оснований для передачи этого поручения. Пользователь самостоятельно несет ответственность за наличие согласий субъектов (контрагентов) на такую обработку.

4. Цели обработки персональных данных

Регистрация и идентификация Пользователя в Сервисе
Предоставление функционала Сервиса (генерация документов, работа с шаблонами)
Отправка транзакционных уведомлений
Обработка платежей и управление подпиской
Отправка маркетинговых и информационных сообщений (при согласии Пользователя)
Обеспечение технической поддержки
Анализ использования Сервиса для его улучшения
Обеспечение безопасности и предотвращение мошенничества
Исполнение требований законодательства РФ

5. Условия обработки персональных данных

5.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его данных.

5.1.1. Персональные данные хранятся на серверах, физически расположенных на территории Российской Федерации (г. Москва, дата-центр Timeweb Cloud), в соответствии с требованиями ч. 5 ст. 18 Федерального закона от 27.07.2006 № 152-ФЗ.

5.1.2. Документы, создаваемые с использованием Сервиса и содержащие персональные данные (ФИО, паспортные данные, ИНН физического лица или индивидуального предпринимателя, а также иные персональные данные, определяемые Оператором), хранятся исключительно на серверах, расположенных на территории Российской Федерации, и не передаются в зарубежные сервисы (в том числе Google LLC). Шаблоны документов, содержащие переменные-заполнители без заполненных персональных данных, могут храниться в облачных хранилищах, подключённых Пользователем.

5.2. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта, кроме случаев, предусмотренных законодательством РФ.

5.3. Трансграничная передача персональных данных осуществляется на территорию иностранных государств, не обеспечивающих адекватную защиту прав субъектов персональных данных:

а) Соединенные Штаты Америки (Google LLC) — исключительно в части передачи технической информации OAuth 2.0 и авторизационных токенов при привязке Google Диска. Персональные данные, вносимые в документы, в адрес Google LLC не передаются.

б) Объединенные Арабские Эмираты (Telegram Messenger Inc.) — в процессе обеспечения работы Telegram-ботов Сервиса при передаче команд, сообщений поддержки и данных для генерации документов через инфраструктуру мессенджера Telegram.

Трансграничная передача в указанные государства осуществляется на основании отдельного явного согласия Пользователя и после направления соответствующего уведомления в Роскомнадзор в соответствии со ст. 12 Федерального закона № 152-ФЗ. При использовании сервиса «Яндекс.Диск» (ООО «Яндекс», Россия) обработка осуществляется на территории РФ, трансграничная передача отсутствует.

5.3.1. Обработка платежей осуществляется через платёжный сервис «ЮKassa» (ООО НКО «ЮМани», Россия). Трансграничная передача платёжных данных не производится.

5.4. В случае выявления неточностей в персональных данных Пользователь может актуализировать их самостоятельно через настройки профиля либо путем направления уведомления Оператору.

5.5. Оператор осуществляет автоматизированную и неавтоматизированную обработку персональных данных.

6. Меры по обеспечению безопасности персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий:

Назначение ответственного за организацию обработки персональных данных
Применение организационных и технических мер по обеспечению безопасности персональных данных
Оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения 152-ФЗ
Осуществление внутреннего контроля соответствия обработки персональных данных требованиям 152-ФЗ
Использование шифрования (TLS 1.3) при передаче данных по сети
Хеширование паролей (bcrypt/Argon2id)
Журналирование всех операций с персональными данными

7. Права субъекта персональных данных

Субъект персональных данных имеет право:

На получение информации, касающейся обработки его персональных данных
На уточнение, блокирование или уничтожение его персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки
На отзыв согласия на обработку персональных данных
На обжалование действий или бездействия Оператора в Роскомнадзор или в судебном порядке
На защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда

7.1. Оператор предоставляет ответ на запрос субъекта персональных данных в течение 10 (десяти) рабочих дней с момента получения запроса, но не позднее 30 (тридцати) календарных дней, установленных ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ. Ответ предоставляется в той форме, в которой поступил запрос, если иное не указано в самом запросе. При необходимости уточнения формулировки запроса Оператор может обратиться к субъекту в течение 10 рабочих дней.

8. Сроки обработки и уничтожение персональных данных

8.1. Персональные данные обрабатываются до достижения целей обработки или до отзыва согласия субъектом.

8.2. При достижении целей обработки или отзыве согласия персональные данные подлежат уничтожению в течение 30 (тридцати) дней, если иное не предусмотрено законодательством РФ.

8.3. При самостоятельном удалении аккаунта Пользователем через интерфейс Сервиса его персональные данные удаляются из операционной базы данных в день удаления. Полное уничтожение остаточных данных в резервных копиях (бэкапах) осуществляется в течение 30 (тридцати) дней.

8.4. При поступлении запроса субъекта персональных данных об отзыве согласия на обработку уничтожение персональных данных осуществляется в течение 30 (тридцати) дней с момента получения запроса, если иное не предусмотрено законодательством РФ.

8.5. При выявлении факта неправомерной обработки персональных данных Оператор прекращает такую обработку в течение 3 (трёх) рабочих дней. Если обеспечить правомерность обработки невозможно, персональные данные подлежат уничтожению в течение 10 (десяти) рабочих дней.

8.6. После достижения целей обработки или удаления аккаунта Пользователя Оператор вправе использовать обезличенные данные (данные, по которым невозможно определить принадлежность конкретному субъекту) для статистических целей и улучшения работы Сервиса.

8.7. Уведомление об инцидентах

В случае выявления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор:

В течение 24 часов с момента выявления — о произошедшем инциденте, предполагаемых причинах, вреде и принятых мерах по устранению последствий (ч. 3.1 ст. 21 Федерального закона от 27.07.2006 № 152-ФЗ).
В течение 72 часов с момента выявления — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента (при наличии).

9. Заключительные положения

9.1. Настоящая Политика является общедоступным документом и подлежит размещению на сайте Сервиса.

9.2. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента ее размещения на сайте Сервиса.

9.3. Контроль исполнения требований настоящей Политики осуществляется ответственным за организацию обработки персональных данных.

9.4. По вопросам, связанным с обработкой персональных данных, обращайтесь: support@autodocks.ru.