Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и меры по защите персональных данных в сервисе MaxTraf и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон»).

1.2. Оператор персональных данных: [заполнить: ИП Фамилия Имя Отчество / ООО «Название»], ИНН [заполнить], реквизиты и контакты указаны в разделе 13 (далее — «Оператор»).

1.3. Политика применяется к персональным данным, которые Оператор получает через сайт max-traf.ru, страницы входа и оплаты на поддомене cabinet.max-traf.ru, письма и обращения в поддержку. Политика опубликована в свободном доступе по адресу max-traf.ru/privacy (часть 2 статьи 18.1 Закона).

1.4. Оператор не проверяет достоверность сведений, сообщённых субъектом, и исходит из того, что субъект предоставляет достоверные данные и поддерживает их в актуальном состоянии.

2. Термины

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.

2.3. Пользователь — лицо, принявшее Пользовательское соглашение. Посетитель — лицо, открывшее сайт. Кабинет — изолированный экземпляр сервиса, выделенный Пользователю.

3. Какие данные мы обрабатываем

3.1. Посетители сайта: IP-адрес, сведения о браузере и устройстве (user-agent), дата и время запросов, адреса просмотренных страниц — в технических журналах веб-сервера. Сайт не использует рекламные трекеры и системы веб-аналитики.

3.2. Пользователи (клиенты): адрес электронной почты; имя, название компании и контакт для связи (имя пользователя Telegram или номер телефона), если Пользователь их сообщил; сведения о заказах и платежах (тариф, сумма, дата, статус, идентификатор платежа в платёжной системе); дата, время и IP-адрес принятия Пользовательского соглашения; IP-адреса и время входов, история обращений в поддержку.

3.3. Оператор не получает и не хранит данные банковских карт: их обрабатывает платёжная система на своей стороне.

3.4. Оператор не обрабатывает специальные категории персональных данных (о здоровье, политических взглядах, религиозных убеждениях и т. п.) и биометрические персональные данные.

4. Цели обработки

4.1. Заключение и исполнение Пользовательского соглашения: оформление заказа, приём оплаты, создание Кабинета и предоставление доступа к нему.

4.2. Направление сервисных уведомлений: данные для входа, подтверждение оплаты, ссылка для входа, напоминания о продлении и окончании оплаченного периода.

4.3. Поддержка Пользователей и рассмотрение обращений и претензий.

4.4. Обеспечение безопасности сервиса: защита от подбора паролей и злоупотреблений, расследование инцидентов.

4.5. Исполнение требований законодательства, в том числе о применении контрольно-кассовой техники (54-ФЗ) и о бухгалтерском учёте.

4.6. Рекламные и информационные рассылки Оператор направляет только при наличии отдельного согласия субъекта, которое можно отозвать в любой момент.

5. Правовые основания

5.1. Обработка необходима для исполнения договора (Пользовательского соглашения), стороной которого является субъект, и для его заключения по инициативе субъекта (пункт 5 части 1 статьи 6 Закона).

5.2. Обработка необходима для выполнения обязанностей, возложенных на Оператора законодательством Российской Федерации (пункт 2 части 1 статьи 6 Закона).

5.3. Согласие субъекта (пункт 1 части 1 статьи 6 Закона) — в случаях, когда иные основания отсутствуют, в том числе для рекламных рассылок. Согласие оформляется отдельно от иных документов.

6. Порядок, место и сроки обработки

6.1. Обработка осуществляется с использованием средств автоматизации и без них, способами, перечисленными в пункте 2.2.

6.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона).

6.3. Сроки хранения: данные Пользователя — в течение действия Пользовательского соглашения и 3 (трёх) лет после его прекращения для разрешения возможных споров; сведения о платежах — в сроки, установленные законодательством о бухгалтерском учёте и налогах (не менее 5 лет); технические журналы веб-сервера — не более 1 (одного) месяца.

6.4. По достижении целей обработки, истечении сроков хранения или при отзыве согласия (если обработка основана на согласии) персональные данные уничтожаются или обезличиваются в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законом.

7. Передача третьим лицам

7.1. Оператор передаёт персональные данные третьим лицам только в объёме, необходимом для целей раздела 4:

• платёжным системам — для приёма оплаты и формирования кассовых чеков: ООО НКО «ЮМани» (сервис ЮKassa), а также иным платёжным системам, выбранным Пользователем на странице оплаты, — адрес электронной почты, сумма и назначение платежа;
• сервису отправки электронной почты — для доставки сервисных писем: адрес электронной почты и текст письма;
• хостинг-провайдеру — для размещения сервиса на серверах в Российской Федерации;
• государственным органам — по запросам, основанным на законе.

7.2. Если доставка сервисных писем требует трансграничной передачи адреса электронной почты, она осуществляется с соблюдением статьи 12 Закона, в том числе после уведомления уполномоченного органа по защите прав субъектов персональных данных.

7.3. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных маркетинговых целей.

8. Данные в Кабинетах клиентов

8.1. Пользователь может загружать в свой Кабинет и получать с его помощью персональные данные третьих лиц (собеседников в диалогах, участников каналов и групп, получателей рассылок). В отношении этих данных оператором является Пользователь, который самостоятельно определяет цели и состав обработки и обеспечивает законность её оснований.

8.2. Оператор обрабатывает такие данные по поручению Пользователя (часть 3 статьи 6 Закона) на условиях раздела 10 Пользовательского соглашения: только для работы Кабинета, с соблюдением конфиденциальности и мер защиты из раздела 9, без использования в собственных целях.

8.3. Обращения субъектов по поводу таких данных Оператор передаёт соответствующему Пользователю и содействует ему в их исполнении.

9. Защита персональных данных

9.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона, в том числе:

• передача данных только по защищённому протоколу HTTPS (TLS);
• изоляция Кабинетов: у каждого Пользователя отдельный экземпляр сервиса со своей базой данных и отдельной системной учётной записью;
• хранение паролей только в виде стойких хешей, шифрование сессий Telegram и ключей доступа к сторонним сервисам;
• разграничение доступа, двухфакторная аутентификация администраторов, ограничение попыток входа, журналирование действий;
• регулярное резервное копирование и контроль обновлений программного обеспечения;
• назначение лица, ответственного за организацию обработки персональных данных, и ознакомление работников с требованиями Закона.

9.2. При выявлении неправомерной передачи персональных данных Оператор уведомляет уполномоченный орган в сроки, установленные частью 3.1 статьи 21 Закона.

10. Файлы cookie и локальное хранилище

10.1. Сайт и сервис используют только технически необходимые cookie: идентификатор сессии для входа в Кабинет и суперадминистративную часть. Без них вход невозможен.

10.2. На странице входа cabinet.max-traf.ru браузер Пользователя может хранить список адресов Кабинетов, в которые Пользователь уже входил (локальное хранилище браузера). Эти сведения не передаются Оператору и удаляются кнопкой «×» или очисткой данных сайта в браузере.

10.3. Рекламные и аналитические cookie сайт не использует.

11. Права субъекта персональных данных

11.1. Субъект вправе: получить сведения об обработке своих персональных данных; потребовать их уточнения, блокирования или уничтожения, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели; отозвать согласие на обработку, если обработка основана на согласии; обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в суд.

11.2. Запрос направляется на адрес электронной почты из раздела 13 и должен содержать сведения, позволяющие идентифицировать субъекта (например, адрес почты, на которую оформлен Кабинет), и суть требования (часть 3 статьи 14 Закона).

11.3. Оператор отвечает на запрос в течение 10 (десяти) рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением мотивированного уведомления.

12. Изменение Политики

12.1. Оператор вправе изменять Политику. Новая редакция публикуется по адресу max-traf.ru/privacy с указанием даты и вступает в силу с момента публикации, если в ней не указано иное.

13. Контакты оператора

Оператор

[заполнить: ИП Фамилия Имя Отчество / ООО «Название»]

ИНН

[заполнить]

ОГРН / ОГРНИП

[заполнить]

Адрес

[заполнить: адрес регистрации / юридический адрес]

Почта для обращений по персональным данным

[заполнить: почта для обращений]