Политика обработки персональных данных

Настоящий документ является частью единого публичного комплекта документации программного продукта «Основа Бизнеса».

Статус документа и правила толкования

Настоящая Политика определяет принципы, цели, правовые основания, категории субъектов и персональных данных, порядок обработки, хранения, защиты и прекращения обработки персональных данных Обществом с ограниченной ответственностью «Основа бизнеса» при эксплуатации сайта https://osnovabusinessa.ru, SaaS-платформы «Основа Бизнеса», технической поддержки и иных связанных сервисов.

Политика является публичным документом оператора в смысле Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных». ООО «ОСНОВА БИЗНЕСА» внесено в реестр операторов, осуществляющих обработку персональных данных Роскомнадзора; регистрационный номер записи — 23-26-184908.

Политика различает случаи, когда ООО самостоятельно определяет цели обработки персональных данных, и случаи, когда клиент SaaS-платформы самостоятельно размещает данные своих сотрудников, представителей, контрагентов или иных лиц и ООО осуществляет техническую обработку таких данных в рамках предоставления сервиса и соответствующего поручения, если оно требуется.

1. Общие положения

ООО «ОСНОВА БИЗНЕСА» организует обработку персональных данных на законной и справедливой основе и стремится ограничивать объём обрабатываемых сведений тем, что необходимо для конкретной заявленной цели. Персональные данные не должны обрабатываться несовместимо с целями, для которых они были получены.

Настоящая Политика распространяется на персональные данные, получаемые через официальный сайт, формы обращения, регистрацию и использование Платформы, переписку с технической поддержкой, договорные отношения, а также иные официальные каналы взаимодействия ООО.

Если обработка конкретных данных регулируется специальным договором, поручением на обработку персональных данных или обязательным требованием закона, соответствующий документ применяется совместно с настоящей Политикой.

2. Сведения об операторе

Внесение ООО в реестр операторов подтверждает выполнение предусмотренной законом процедуры уведомления уполномоченного органа. Оно не означает наличие универсального права обрабатывать любые персональные данные: для каждой операции и цели должно существовать самостоятельное законное основание.

3. Нормативные и договорные основания

Обработка осуществляется на основаниях, предусмотренных законодательством Российской Федерации, в том числе Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом № 152-ФЗ «О персональных данных», Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также иными применимыми нормативными актами.

В зависимости от цели основанием обработки могут являться необходимость заключения или исполнения договора с субъектом, исполнение установленной законом обязанности оператора, осуществление прав и законных интересов при соблюдении прав субъекта, а также отдельное согласие субъекта в случаях, когда оно требуется законом.

Согласие на обработку персональных данных оформляется отдельно от иных документов и подтверждений пользователя. Отказ от согласия не препятствует обработке на ином самостоятельном основании, если такое основание прямо предусмотрено законодательством.

4. Принципы обработки

• законность и справедливость;
• ограничение обработки конкретными, заранее определёнными и законными целями;
• недопустимость несовместимого объединения баз и целей обработки;
• соответствие состава и объёма данных заявленным целям;
• точность, достаточность и актуальность данных;
• хранение не дольше, чем это необходимо для цели либо предусмотрено законом или договором;
• прекращение обработки и уничтожение либо обезличивание после отпадения законных оснований;
• применение необходимых правовых, организационных и технических мер защиты.

5. Категории субъектов

В зависимости от характера взаимодействия ООО может обрабатывать персональные данные следующих категорий субъектов:

• посетители официального сайта;
• лица, направляющие заявку, сообщение, запрос или обращение;
• зарегистрированные Пользователи Платформы;
• представители и сотрудники Клиентов, партнёров и контрагентов;
• индивидуальные предприниматели и физические лица, заключающие договор с ООО;
• лица, чьи данные содержатся в обращениях в техническую поддержку;
• работники и соискатели ООО — в рамках отдельных внутренних процессов, если применимо;
• иные лица, персональные данные которых законно обрабатываются в связи с деятельностью оператора.

Данные работников, контрагентов и иных лиц, самостоятельно загружаемые Клиентом в его организацию внутри Платформы, рассматриваются отдельно в разделе 10 настоящей Политики.

6. Цели, данные и правовые основания

Рассылка рекламных и маркетинговых сообщений не считается автоматически необходимой для исполнения SaaS-договора. Если такая коммуникация требует отдельного согласия по законодательству, оператор запрашивает соответствующее основание отдельно.

7. Состав обрабатываемых данных

В зависимости от цели ООО может обрабатывать только необходимый набор следующих сведений:

• фамилия, имя, отчество — если предоставлены и требуются для цели;
• адрес электронной почты;
• номер телефона — если предоставлен или необходим для выбранного способа связи;
• наименование организации, должность, роль пользователя и сведения о полномочиях;
• логин, идентификаторы учётной записи и сведения, необходимые для её обслуживания;
• сведения, содержащиеся в заявке, обращении, переписке или договорных документах;
• сведения о факте оплаты и договоре в объёме, необходимом для расчётов и учёта;
• IP-адрес, сведения о браузере и устройстве, время обращения, идентификаторы сессии и иные технические данные безопасности;
• cookie и аналогичные технические идентификаторы в объёме, указанном в Политике использования файлов cookie;
• иные данные, добровольно предоставленные субъектом и действительно необходимые для заявленной цели.

Стандартные публичные формы не предназначены для сбора специальных категорий персональных данных или биометрических персональных данных. Пользователю не следует направлять такие сведения через обычную форму обращения, если их обработка прямо не предусмотрена отдельной законной процедурой.

8. Действия с персональными данными

В пределах конкретной цели ООО может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение (обновление и изменение), извлечение, использование, передачу в форме предоставления или доступа при наличии законного основания, обезличивание, блокирование, удаление и уничтожение персональных данных.

Обработка может осуществляться автоматизированным способом, без использования средств автоматизации либо смешанным способом. Конкретный способ определяется характером процесса и требованиями законодательства.

Распространение персональных данных неопределённому кругу лиц не осуществляется без отдельного правового основания. Если субъект самостоятельно публикует сведения в специально предназначенной публичной функции, такая функция регулируется её условиями и применимым законодательством.

9. Сайт, заявки и учётные записи

При посещении сайта техническая инфраструктура может обрабатывать данные сетевого взаимодействия, необходимые для доставки страниц, обеспечения безопасности и работы сессии. Необязательные cookie и аналогичные технологии регулируются отдельной Политикой и настройками cookie-баннера.

При направлении формы пользователь предоставляет только те данные, которые указаны в соответствующих полях. Если форма использует согласие как правовое основание, оно должно предоставляться отдельным действием и не объединяется с акцептом пользовательской оферты.

При регистрации создаётся учётная запись. Данные аккаунта используются для аутентификации, определения организации и роли, предоставления функций и защиты от несанкционированного доступа.

10. Данные, размещаемые клиентами SaaS

Клиент может самостоятельно размещать в своей рабочей области сведения о сотрудниках, представителях контрагентов и иных физических лицах в той мере, в какой это необходимо для его хозяйственной деятельности и поддерживается Платформой.

В таких отношениях Клиент самостоятельно определяет цель и законное основание обработки соответствующих персональных данных и несёт ответственность за правомерность их сбора и передачи в Платформу. ООО не приобретает право использовать клиентские данные для собственных несовместимых целей только вследствие их размещения в сервисе.

Если по характеру отношений ООО является лицом, осуществляющим обработку персональных данных по поручению Клиента, условия такого поручения определяются договором, DPA или иным документом, отвечающим требованиям законодательства. ООО обрабатывает данные в пределах поручения и технически необходимой функциональности.

11. Cookie и технические идентификаторы

Сайт и веб-интерфейс используют обязательные технические cookie и могут использовать функциональные или аналитические cookie в зависимости от фактической конфигурации. Категории, цели и управление выбором пользователя описываются в Политике использования файлов cookie.

Необязательные cookie не считаются автоматически принятыми только потому, что пользователь продолжил просматривать сайт. Если для их использования необходимо согласие, пользователь получает возможность совершить отдельный выбор в баннере или настройках.

12. Локализация и хранение данных

При сборе персональных данных граждан Российской Федерации с использованием сети Интернет ООО обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких персональных данных с использованием баз данных, находящихся на территории Российской Федерации, в предусмотренном законодательством объёме.

Production-инфраструктура Платформы размещается в Yandex Cloud на территории Российской Федерации. Конкретные технические параметры инфраструктуры не являются частью публичной Политики и раскрываются только в необходимом объёме.

Срок хранения определяется целью обработки, сроком договора, обязательными сроками бухгалтерского, налогового, претензионного, архивного или иного хранения, а также иными законными основаниями. ООО не устанавливает единый произвольный срок для всех категорий данных, поскольку разные цели имеют различный правовой жизненный цикл.

13. Лица, участвующие в обработке, и передача данных

ООО может поручать отдельные операции лицам, которые обеспечивают инфраструктуру, связь, техническую поддержку, расчёты или иные необходимые процессы, при наличии правового основания и соблюдении требований к конфиденциальности и защите персональных данных.

Передача государственному органу, суду, правоохранительному органу или иному уполномоченному лицу осуществляется только при наличии предусмотренного законом основания и в требуемом объёме.

ООО не продаёт персональные данные рекламодателям. Использование данных третьими лицами для самостоятельных целей не допускается без отдельного законного основания.

Актуальный фактический состав технологических поставщиков может меняться вместе с инфраструктурой и подключёнными функциями. Существенные изменения, влияющие на условия обработки, учитываются при актуализации Политики и договорных документов.

14. Трансграничная передача

Настоящая Политика не устанавливает трансграничную передачу как обязательный или универсальный способ обработки данных пользователей. Основная production-инфраструктура размещается в Российской Федерации.

Если отдельная подключаемая функция объективно предполагает трансграничную передачу персональных данных, такая передача может осуществляться только после выполнения требований законодательства Российской Федерации, наличия самостоятельного правового основания и оценки применимости соответствующей функции. Сам факт наличия внешнего программного сервиса не означает автоматическую передачу ему всех данных Клиента.

15. Меры по обеспечению безопасности

ООО принимает необходимые и достаточные правовые, организационные и технические меры с учётом характера обрабатываемых данных, актуальных рисков и требований законодательства. Публичная Политика раскрывает общие категории мер и не содержит сведений, способных облегчить обход защиты.

• назначение ответственных лиц и утверждение локальных документов;
• разграничение доступа и использование персональных учётных записей;
• логическое разделение данных организаций;
• ограничение административных полномочий;
• журналирование и эксплуатационный контроль значимых событий;
• резервное копирование и восстановление в пределах установленной инфраструктуры;
• управление изменениями программного обеспечения;
• правила конфиденциальности и доступа привлечённых специалистов;
• внутренний контроль соблюдения установленных требований;
• рассмотрение обращений и реагирование на выявленные инциденты.

16. Права субъекта персональных данных

Субъект вправе реализовать права, предусмотренные законодательством Российской Федерации, в том числе:

• получить сведения, касающиеся обработки его персональных данных, в предусмотренном законом объёме;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не требуются для заявленной цели;
• отозвать согласие в части обработки, основанной на согласии;
• требовать прекращения обработки в случаях и порядке, предусмотренных законом;
• обжаловать действия или бездействие ООО в Роскомнадзор или в суд;
• защищать свои права и законные интересы иными способами, предусмотренными законодательством.

Отзыв согласия не прекращает автоматически ту обработку, которую ООО вправе или обязано продолжить на ином законном основании.

17. Порядок обращений

Обращение по вопросам персональных данных может быть направлено по адресу fulcrumllc@yandex.ru либо по юридическому адресу ООО. Для защиты от раскрытия данных постороннему лицу ООО вправе запросить сведения, позволяющие идентифицировать заявителя и его отношение к запрашиваемым данным.

Обращение рекомендуется формулировать конкретно: указать ФИО, контакт для ответа, характер взаимодействия с ООО, требование и сведения, позволяющие найти соответствующие данные. Не следует направлять пароль или секретные данные учётной записи.

ООО рассматривает обращения и отвечает в сроки, установленные применимым законодательством Российской Федерации.

18. Прекращение обработки, удаление и уничтожение

При достижении цели обработки ООО прекращает обработку и обеспечивает уничтожение персональных данных в сроки и порядке, установленные законодательством, если дальнейшее хранение не требуется договором, иным соглашением либо законным основанием обработки без согласия субъекта.

При поступлении законного требования о прекращении обработки ООО прекращает обработку в установленный законодательством срок, за исключением случаев, когда закон допускает её продолжение. Если необходимо проверить правомерность обработки, данные могут быть временно заблокированы на период проверки в предусмотренных законом случаях.

Уничтожение выполняется способом, исключающим дальнейшее восстановление и использование данных в обычном процессе, в соответствии с внутренним порядком и применимыми требованиями. Обезличивание применяется, если дальнейшая работа с данными допускается без идентификации субъекта и соответствует цели.

19. Инциденты и взаимодействие с Роскомнадзором

При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, ООО организует внутреннее расследование и выполняет обязанности по уведомлению уполномоченного органа в случаях и сроки, установленные Федеральным законом № 152-ФЗ.

Пользователь или Клиент обязан без неоправданной задержки сообщить ООО о известном ему событии, которое может свидетельствовать о компрометации учётной записи, неправомерном доступе или иной угрозе персональным данным в Платформе.

20. Актуализация Политики

ООО вправе актуализировать настоящую Политику при изменении законодательства, процессов обработки, инфраструктуры или функций Платформы. Действующая редакция публикуется на официальном сайте или странице документации.

Изменение Политики само по себе не создаёт новое согласие субъекта там, где закон требует отдельного согласия. При изменении цели, состава данных или иных условий, требующих нового согласия, ООО организует его получение отдельно.

21. Контактные сведения и реквизиты

По вопросам обработки персональных данных, реализации прав субъекта и актуальной редакции Политики следует обращаться к ООО «ОСНОВА БИЗНЕСА» по указанным ниже реквизитам.