Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана во исполнение требований ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») и определяет позицию общества с ограниченной ответственностью «ПИК АЙТИ» (далее — «Оператор») в отношении обработки и защиты персональных данных.

1.2. Сведения об Операторе:

• полное наименование: общество с ограниченной ответственностью «ПИК АЙТИ»;
• адрес: 620149, Российская Федерация, Свердловская область, г. Екатеринбург, ул. Серафимы Дерябиной, д. 49, корп. 3, кв. 4;
• ОГРН 1236600073313, ИНН 6671289790, КПП 667101001;
• адрес электронной почты: info@qrpassport.tech.

1.3. Политика действует в отношении всех персональных данных, которые Оператор обрабатывает в связи с эксплуатацией сервиса «QR Passport», включающего сайт https://qrpassport.tech, веб-приложение https://app.qrpassport.tech и публичные страницы паспортов изделий, размещаемые по адресам вида https://app.qrpassport.tech/p/… (далее — «Сервис»), а также в связи с осуществлением иной деятельности Оператора.

1.4. Политика опубликована в свободном доступе в информационно-телекоммуникационной сети «Интернет» на сайте Оператора.

1.5. Основные понятия, используемые в Политике («персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «автоматизированная обработка», «предоставление», «блокирование», «уничтожение», «обезличивание» и др.), применяются в значениях, определенных Законом о персональных данных.

2. Правовые основания обработки персональных данных

2.1. Правовыми основаниями обработки персональных данных являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Закон о персональных данных и принятые в соответствии с ним нормативные правовые акты;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• согласие субъекта персональных данных на обработку его персональных данных;
• договоры, заключаемые между Оператором и субъектами персональных данных либо между Оператором и клиентами Сервиса (в том числе условия использования Сервиса), — когда обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;
• поручения клиентов Сервиса на обработку персональных данных в соответствии с ч. 3 ст. 6 Закона о персональных данных.

3. Цели обработки персональных данных

3.1. Оператор обрабатывает персональные данные в следующих целях:

3.1.1. регистрация, идентификация, аутентификация и авторизация пользователей Сервиса;

3.1.2. предоставление пользователям доступа к функциональности Сервиса, включая формирование и выпуск цифровых паспортов изделий и их публичную проверку по QR-коду;

3.1.3. направление служебных уведомлений, связанных с работой Сервиса (подтверждение адреса электронной почты, приглашения сотрудников, восстановление пароля, смена адреса электронной почты);

3.1.4. связь с пользователями, обработка обращений и запросов, оказание технической поддержки;

3.1.5. заключение и исполнение договоров с клиентами Сервиса, включая выставление счетов и документооборот;

3.1.6. обеспечение безопасности Сервиса, предотвращение и выявление нарушений, ведение журналов аудита;

3.1.7. проведение статистических и аналитических исследований на основе обезличенных данных, улучшение работы Сервиса;

3.1.8. исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации;

3.1.9. продвижение товаров, работ и услуг Оператора на рынке путем осуществления прямых контактов с потенциальными потребителями с помощью средств связи — исключительно при наличии предварительного согласия субъекта персональных данных, выраженного отдельно (ч. 1 ст. 15 Закона о персональных данных).

3.2. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора.

4. Категории субъектов и состав обрабатываемых персональных данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

4.1.1. пользователи Сервиса — физические лица, зарегистрированные в Сервисе (сотрудники и представители клиентов);

4.1.2. представители (работники) клиентов и контрагентов Оператора, в том числе указанные в реквизитах организаций и документах;

4.1.3. посетители сайта и публичных страниц паспортов — физические лица, использующие Сервис без регистрации;

4.1.4. физические лица, персональные данные которых содержатся в материалах, загружаемых клиентами в Сервис (например, Ф.И.О. руководителя или подписанта в реквизитах, сертификатах и иных документах). Обработка таких данных осуществляется по поручению соответствующего клиента;

4.1.5. лица, направившие заявку через формы на сайте Оператора (в том числе запрос демонстрации Сервиса), — потенциальные клиенты и их представители.

4.2. Состав обрабатываемых персональных данных:

4.2.1. для пользователей Сервиса: фамилия, имя, отчество; адрес электронной почты; контактный телефон; должность; наименование и реквизиты представляемой организации; сведения об учетной записи и действиях в Сервисе (журнал аудита);

4.2.2. для представителей клиентов и контрагентов: фамилия, имя, отчество; должность; контактные данные; сведения, содержащиеся в реквизитах и документах организации;

4.2.3. для посетителей сайта и публичных страниц: техническая информация — IP-адрес, данные файлов cookies, сведения о браузере и устройстве, дата и время доступа, адреса запрашиваемых страниц;

4.2.4. для субъектов, данные которых загружены клиентами: состав данных определяется клиентом в пределах, необходимых для формирования паспортов изделий и сопутствующих документов;

4.2.5. для лиц, направивших заявку через формы на сайте: фамилия, имя, отчество; адрес электронной почты; наименование организации; контактный телефон; предпочтительный способ связи.

4.3. Оператор не запрашивает и не обрабатывает в собственных целях специальные категории персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Загрузка указанных категорий персональных данных в Сервис запрещена условиями использования Сервиса; Оператор не осуществляет их целенаправленный сбор и не проверяет содержимое материалов, загружаемых клиентами (п. 5.6.2 Политики).

4.4. В отношении персональных данных, оператором которых является Оператор (пп. 4.1.1–4.1.3, 4.1.5 Политики), обработка персональных данных, разрешенных субъектом для распространения в значении ст. 10.1 Закона о персональных данных, не осуществляется.

4.4.1. Размещение персональных данных на публичных страницах паспортов производится по указанию клиента в рамках его поручения (п. 5.6 Политики). Решение о включении персональных данных в паспорт изделия принимает клиент; он же, выступая оператором таких данных, обеспечивает наличие согласия субъекта на распространение персональных данных, оформленного в соответствии со ст. 10.1 Закона о персональных данных и требованиями уполномоченного органа по защите прав субъектов персональных данных.

5. Порядок и условия обработки персональных данных

5.1. Обработка персональных данных осуществляется с соблюдением принципов и правил, предусмотренных Законом о персональных данных, — как с использованием средств автоматизации (в информационных системах Сервиса), так и без их использования.

5.2. Обработка включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

5.3. Согласие на обработку персональных данных предоставляется субъектом свободно, своей волей и в своем интересе — путем проставления соответствующей отметки при регистрации в Сервисе или при направлении заявки через формы на сайте.

5.3.1. Обработка персональных данных, необходимая для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (в том числе условий использования Сервиса), осуществляется на основании п. 5 ч. 1 ст. 6 Закона о персональных данных и отдельного согласия не требует.

5.4. При сборе персональных данных, в том числе посредством сети «Интернет», Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

5.5. Оператор вправе поручать обработку персональных данных другим лицам (субпроцессорам) — в том числе поставщикам серверной инфраструктуры и объектного хранилища, а также поставщику сервиса доставки электронных писем — на основании заключаемых с ними договоров (поручений), содержащих условия, предусмотренные ч. 3 ст. 6 Закона о персональных данных. Субпроцессоры обрабатывают персональные данные исключительно в объеме и в целях, необходимых для функционирования Сервиса, обязуются соблюдать конфиденциальность и обеспечивать безопасность персональных данных. Привлечение субпроцессоров не освобождает Оператора от ответственности перед субъектами персональных данных.

5.6. В отношении персональных данных, загружаемых клиентами в Сервис (п. 4.1.4 Политики), оператором персональных данных является соответствующий клиент, а Оператор осуществляет их обработку по его поручению в соответствии с ч. 3 ст. 6 Закона о персональных данных. Состав таких персональных данных и цели их обработки определяются клиентом; Оператор совершает с ними действия (сбор посредством загрузки клиентом, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу на публичных страницах паспортов по указанию клиента, обезличивание, блокирование, удаление, уничтожение) исключительно в объеме, необходимом для предоставления функциональности Сервиса, и в течение срока, определяемого поручением (до удаления данных клиентом либо по его требованию), а в отношении персональных данных, размещенных на публичных страницах паспортов, — с учетом сроков, установленных пп. 6.1.1 и 6.1.2 Политики.

5.6.1. Клиент уполномочивает Оператора поручать обработку указанных персональных данных субпроцессорам, привлекаемым в соответствии с п. 5.5 Политики, на тех же условиях.

5.6.2. Обязанность иметь правовые основания для передачи Оператору персональных данных, содержащихся в загружаемых материалах, включая получение необходимых согласий субъектов, несет клиент. Оператор не получает согласий таких субъектов и не проверяет наличие у клиента правовых оснований.

5.7. Персональные данные могут быть переданы уполномоченным органам государственной власти Российской Федерации по основаниям и в порядке, установленным законодательством Российской Федерации.

5.8. Оператор не принимает решений, порождающих юридические последствия в отношении субъектов персональных данных или иным образом затрагивающих их права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.

6. Сроки обработки и хранения. Уничтожение персональных данных

6.1. Персональные данные обрабатываются в течение срока, необходимого для достижения целей обработки: для пользователей Сервиса — в течение срока существования учетной записи; для сторон договоров — в течение срока действия договора и установленных законодательством сроков хранения документов.

6.1.1. Персональные данные, содержащиеся на публичных страницах паспортов, выпущенных клиентом в рамках платного использования Сервиса, обрабатываются (в объеме, необходимом для обеспечения доступности таких страниц) в течение 5 лет с даты выпуска соответствующего паспорта, если не подлежат удалению ранее по требованию клиента, субъекта персональных данных или по основаниям, предусмотренным законодательством.

6.1.2. Персональные данные, содержащиеся на публичных страницах паспортов, выпущенных клиентом в рамках безвозмездного использования Сервиса, обрабатываются (в объеме, необходимом для обеспечения доступности таких страниц) не более 12 месяцев с даты выпуска соответствующего паспорта, если не подлежат удалению ранее по требованию клиента, субъекта персональных данных или по основаниям, предусмотренным законодательством. Доступность таких страниц Оператором не гарантируется (условия использования Сервиса, пп. 4.6, 7.3).

6.2. Журналы аудита действий в Сервисе хранятся не более 12 месяцев.

6.3. Обработка персональных данных прекращается, а данные подлежат уничтожению (если иное не предусмотрено законодательством) при наступлении любого из условий:

• достижение целей обработки либо утрата необходимости в их достижении;
• отзыв субъектом согласия на обработку персональных данных (если иные правовые основания обработки отсутствуют);
• истечение сроков обработки, установленных договором или законодательством;
• ликвидация Оператора.

6.4. Уничтожение персональных данных осуществляется в срок, не превышающий 30 дней с даты наступления соответствующего условия, путем удаления данных из баз данных и информационных систем Сервиса, включая резервные копии. До момента уничтожения резервной копии содержащиеся в ней персональные данные не используются для обработки, за исключением восстановления работоспособности информационных систем Сервиса. Факт уничтожения оформляется в соответствии с требованиями уполномоченного органа по защите прав субъектов персональных данных.

7. Права субъектов персональных данных

7.1. Субъект персональных данных имеет право:

• получать сведения об обработке его персональных данных Оператором, в объеме, предусмотренном ч. 7 ст. 14 Закона о персональных данных;
• требовать уточнения его персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

7.2. Для реализации своих прав субъект персональных данных может направить обращение (запрос, требование):

• по электронной почте: info@qrpassport.tech;
• почтовым отправлением по адресу Оператора, указанному в разделе 1 настоящей Политики.

7.3. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона о персональных данных: данные документа, удостоверяющего личность субъекта или его представителя, сведения, подтверждающие участие субъекта в отношениях с Оператором (либо иные сведения, подтверждающие факт обработки его персональных данных Оператором), и подпись субъекта или его представителя.

7.4. Оператор предоставляет ответ на запрос субъекта персональных данных в течение 10 рабочих дней с момента обращения. Указанный срок может быть продлен, но не более чем на 5 рабочих дней, с направлением субъекту мотивированного уведомления.

7.5. В случае отзыва согласия Оператор прекращает обработку соответствующих персональных данных и уничтожает их в срок, не превышающий 30 дней с даты поступления отзыва, за исключением случаев, когда обработка может быть продолжена по иным основаниям, предусмотренным Законом о персональных данных.

8. Меры по обеспечению безопасности персональных данных

8.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:

• назначено лицо, ответственное за организацию обработки персональных данных;
• изданы локальные акты по вопросам обработки и защиты персональных данных;
• применяется разграничение прав доступа к персональным данным на основе ролей и полномочий;
• обеспечивается изоляция данных разных клиентов Сервиса друг от друга организационными и техническими мерами, включая программные проверки принадлежности данных и, для ряда информационных систем, разграничение на уровне системы управления базами данных;
• применяется шифрование при передаче данных по сети (HTTPS/TLS);
• используется проверка типов загружаемых файлов и ограничение частоты запросов для предотвращения злоупотреблений;
• ведутся журналы аудита действий пользователей;
• осуществляется резервное копирование данных;
• работники Оператора, имеющие доступ к персональным данным, ознакомлены с требованиями законодательства и локальных актов по обработке и защите персональных данных.

8.2. Оператор осуществляет внутренний контроль соответствия обработки персональных данных Закону о персональных данных, требованиям к защите персональных данных и настоящей Политике.

8.3. Оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Закона о персональных данных, и соотношение указанного вреда и принимаемых мер производятся Оператором в соответствии с требованиями уполномоченного органа.

9. Файлы cookies

9.1. При использовании Сервиса автоматически собираются данные файлов cookies и аналогичных технологий: строго необходимые cookies (аутентификация, поддержание сессии, защита от злоупотреблений) и функциональные данные локального хранилища браузера (сохранение черновиков форм и настроек).

9.2. Пользователь может ограничить или запретить использование cookies в настройках браузера; при этом отдельные функции Сервиса могут стать недоступными.

10. Заключительные положения

10.1. Настоящая Политика подлежит актуализации в случае изменения законодательства о персональных данных, состава или целей обработки персональных данных, а также в иных необходимых случаях.

10.2. Новая редакция Политики вступает в силу с момента ее опубликования на сайте Оператора, если иное не предусмотрено новой редакцией.

10.3. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.

10.4. По всем вопросам, связанным с обработкой персональных данных, можно обращаться по адресу электронной почты info@qrpassport.tech или почтовым отправлением по адресу Оператора.