Документ определяет порядок обработки персональных данных в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Редакция: .
1. Общие положения
Настоящая политика в отношении обработки персональных данных (далее — «Политика») действует в отношении всех персональных данных, которые ИП Цапков Александр Вячеславович (далее — «Оператор») может получить о субъекте персональных данных при использовании им программного продукта Scopework (далее — «Сервис»), размещённого в сети «Интернет» по адресу https://scopework.ru и связанных с ним страницах.
Полное наименование Оператора: Индивидуальный предприниматель Цапков Александр Вячеславович. Сведения об ИНН, ОГРНИП и адресе в пределах места жительства содержатся в Едином государственном реестре индивидуальных предпринимателей; по запросу субъекта персональных данных Оператор направляет указанные сведения на адрес электронной почты system@scopework.ru в срок не более 10 рабочих дней с даты регистрации запроса.
2. Термины
Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «распространение персональных данных», «трансграничная передача персональных данных», «блокирование персональных данных», «уничтожение персональных данных», «обезличивание персональных данных», «информационная система персональных данных», «автоматизированная обработка», «предоставление персональных данных» используются в значениях, установленных 152-ФЗ.
3. Состав и категории обрабатываемых персональных данных
Состав персональных данных определяется целями, указанными в разделе 4 настоящей Политики, и может включать:
- Данные учётной записи: адрес электронной почты; технические идентификаторы учётной записи; сведения о сессии (в том числе в виде cookie — см. Политику использования cookie). Пароль обрабатывается средствами Сервиса в защищённом виде; Оператор не хранит пароль в открытом виде.
- Данные профиля: имя (отображаемое имя), изображение профиля (при загрузке), настройки интерфейса (в том числе тема оформления), иные сведения, которые субъект указал в интерфейсе Сервиса.
- Данные, связанные с уведомлениями: при подключении интеграции с мессенджером Telegram — идентификатор чата в Telegram, необходимый для доставки уведомлений.
- Данные, вводимые в Сервисе: содержание документов, комментариев, настроек доступа, иных материалов, размещаемых субъектом в рамках проектов; сведения о действиях в Сервисе в объёме, предусмотренном функциональностью Сервиса (в том числе журналы активности, статистика просмотров документов при включённой функциональности).
- Данные при использовании опциональных функций выгрузки: если субъект подключает выгрузку материалов во внешний сервис, Оператор может обрабатывать технические данные авторизации и учётной записи во внешнем сервисе в объёме, который субъект передаёт при прохождении процедуры подключения в интерфейсе Сервиса и внешнего сервиса.
- Технические данные: IP-адрес, сведения об оборудовании и программном обеспечении (в частности, user agent), дата и время запроса, иные сведения, автоматически получаемые при доступе к Сервису, в том числе для обеспечения безопасности, учёта открытий документов и ограничения частоты записи служебных событий.
Оператор не осуществляет обработку специальных категорий персональных данных и биометрических персональных данных, предусмотренных ст. 10 и 11 152-ФЗ, если иное прямо не следует из действий субъекта при использовании Сервиса.
4. Цели обработки персональных данных
- регистрация субъекта в Сервисе, аутентификация и авторизация;
- предоставление доступа к функциональности Сервиса и исполнение соглашения с пользователем;
- организация совместной работы пользователей, разграничение прав доступа к проектам и документам;
- обеспечение работы публичных и ограниченных ссылок на документы, в том числе с использованием пароля при настройке соответствующего режима;
- направление уведомлений и сообщений, связанных с использованием Сервиса;
- реализация опциональных функций Сервиса, в том числе выгрузки материалов по запросу субъекта;
- обеспечение безопасности Сервиса, предотвращение злоупотреблений, расследование инцидентов;
- ведение учёта и статистики использования Сервиса в объёме, необходимом для указанных целей;
- исполнение требований законодательства Российской Федерации.
5. Правовые основания обработки
Оператор обрабатывает персональные данные на следующих правовых основаниях:
- Согласие субъекта персональных данных — в случаях, когда обработка прямо требует согласия по 152-ФЗ, а также при подключении отдельных опциональных функций, если для их активации в интерфейсе Сервиса предусмотрено явное действие субъекта.
- Исполнение договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ) — при использовании Сервиса на основании пользовательского соглашения (оферты), размещённого по адресу /terms.
- Законные интересы Оператора (п. 7 ч. 1 ст. 6 152-ФЗ) — в части обеспечения безопасности Сервиса, предотвращения мошенничества, улучшения качества работы Сервиса при условии, что права субъекта персональных данных не нарушаются.
- Исполнение обязанностей Оператора, предусмотренных законодательством Российской Федерации (п. 2 ч. 1 ст. 6 152-ФЗ).
6. Действия с персональными данными, способы и сроки обработки
Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных с использованием средств автоматизации и без использования таких средств — в зависимости от конкретной операции и технической реализации Сервиса.
Сроки хранения: персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законодательством Российской Федерации. Данные учётной записи и профиля хранятся до удаления учётной записи либо до получения Оператором требования об удалении персональных данных в порядке, предусмотренном разделом 9. Данные, размещённые пользователем в проектах, хранятся до удаления соответствующего контента пользователем или лицом, уполномоченным на управление проектом, либо до прекращения договорных отношений с Оператором с последующим удалением или обезличиванием в срок не более 30 календарных дней после прекращения доступа к Сервису, если иное не предусмотрено отдельным договором. Технические журналы и служебные записи, содержащие персональные данные в минимально необходимом объёме, могут храниться до 12 месяцев, если более длительный срок не требуется для расследования инцидентов или по требованию закона.
Доступ сотрудников Оператора. Сервис поддерживается и настраивается людьми, поэтому отдельная служебная роль «оператор платформы» имеет технический доступ к данным компаний внутри Сервиса — к документам, задачам, встречам, файлам и настройкам. Оператор не утверждает, что такой доступ технически невозможен: Оператор размещает сервер и базу данных, и обратное утверждение не соответствовало бы действительности. Доступ ограничен следующим:
- роль выдаётся вручную ограниченному числу сотрудников Оператора и не может быть получена изнутри компании-клиента;
- два хранилища закрыты для оператора полностью: секреты развёртывания (пароли баз данных, ключи приложений, переменные окружения серверов компании) и хранилище доступов компании, зашифрованное ключом, которым Оператор не располагает;
- предусмотрен режим поддержки с сокращённым доступом: он требует указания причины, действует 30 минут, не позволяет вносить изменения и сопровождается уведомлением владельца компании;
- действия оператора, совершённые через предусмотренные для этого интерфейсы, записываются в журнал.
7. Поручение обработки и трансграничная передача
Для работы Сервиса Оператор привлекает третьих лиц на условиях поручения обработки персональных данных и (или) иных договорных форм, допускаемых 152-ФЗ. Перечень таких лиц закрытый и приведён ниже; привлечение нового поставщика оформляется изменением настоящей Политики.
- ООО «Таймвэб» (Timeweb Cloud), Российская Федерация — размещение Сервиса. Обрабатываются все данные, находящиеся в базе данных и файловом хранилище Сервиса, включая содержимое документов и задач, а также технические журналы.
- ООО «Таймвэб», шлюз моделей (api.timeweb.ai), Российская Федерация — функции смыслового поиска и ответов по материалам проекта. Передаются фрагменты документов и задач при обращении пользователя, а также текст документов и задач при фоновом расчёте поисковых представлений. Компания-клиент вправе полностью запретить такую передачу переключателем «Внешние модели» в настройках компании.
- ООО «Таймвэб», почтовый сервис (smtp.timeweb.ru), Российская Федерация — доставка писем Сервиса. Передаются адреса получателей и тексты писем.
- ООО «ЯНДЕКС», Российская Федерация — Yandex Object Storage — хранение резервных копий Сервиса. Копии содержат все данные Сервиса и размещаются у провайдера, отличного от провайдера размещения, для устойчивости к отказу одного из них.
- ООО «ЯНДЕКС», Российская Федерация — Яндекс ID (OAuth) — вход и регистрация через учётную запись Яндекса, если субъект выбрал этот способ. Передаётся запрос авторизации; Оператор получает адрес электронной почты и имя.
- ООО «ЯНДЕКС», Российская Федерация — SmartCaptcha — защита форм регистрации и восстановления пароля от автоматизированных обращений. Передаются технический признак прохождения проверки и IP-адрес устройства, с которого открыта форма; содержимое формы, включая адрес электронной почты и наименование компании, не передаётся.
- ООО «ЯНДЕКС», Российская Федерация — Яндекс.Метрика — статистика посещений публичных страниц сайта. Состав сведений и границы применения описаны ниже в настоящем разделе и в Политике использования cookie, пункт 3.6.
- ООО «НКО ЮМани» (ЮKassa), Российская Федерация — приём платежей при оплате банковской картой. Передаются адрес электронной почты плательщика, сумма, состав платежа для формирования кассового чека в соответствии с 54-ФЗ и идентификаторы счёта. Реквизиты банковской карты Оператору не передаются и Оператором не хранятся.
- Have I Been Pwned, Великобритания — проверка пароля на присутствие в известных утечках при его создании и смене. Передаются первые пять символов необратимой свёртки пароля; сам пароль, его полная свёртка и любые сведения о субъекте не передаются (метод k-анонимности).
- Google LLC, США — не применяется к данным компаний-клиентов. Выгрузка документа в Google Документы и привязка учётной записи Google доступны исключительно в собственной компании Оператора и не могут быть включены для компании-клиента— ни составом тарифа, ни отдельным разрешением. Соединённые Штаты Америки не входят в перечень государств, обеспечивающих адекватную защиту прав субъектов персональных данных, и Оператор не передаёт туда данные клиентов. Поставщик назван здесь для полноты перечня, а не потому, что такая передача происходит.
- Поставщики каналов уведомлений — Telegram Messenger Inc., ООО «ВК» (Max, VK Teams), а также почтовый сервер или внешняя система, указанные самой компанией-клиентом. Привлекаются только если компания подключила соответствующий канал. Передаётся уведомление в объёме, выбранном компанией: тип события, номер и заголовок объекта, название проекта и ссылка.
Трансграничная передача. Размещение Сервиса, резервные копии, обработка моделями, почта и приём платежей осуществляются на территории Российской Федерации. Применительно к данным компаний-клиентов трансграничная передача возможна в двух случаях: проверка пароля при его создании и смене (передаются пять символов необратимой свёртки, без сведений о субъекте) и доставка уведомлений, если компания сама подключила канал, инфраструктура которого расположена за пределами Российской Федерации. Такая передача осуществляется в порядке ст. 12 152-ФЗ. Иных случаев трансграничной передачи данных компаний-клиентов Оператор не осуществляет.
Статистика посещений публичного сайта. На публичных страницах Сервиса (главная, тарифы, возможности, юридические страницы, вход и форма регистрации) работает счётчик Яндекс.Метрики — ООО «ЯНДЕКС», Российская Федерация. В него передаются обезличенные сведения о посещении: адрес страницы, метки рекламных ссылок, сайт-источник, тип устройства и действия на странице. Цель — оценка того, какие материалы приводят посетителей на сайт; правовое основание — законный интерес Оператора в развитии Сервиса. Состав cookie и порядок отказа описаны в Политике использования cookie, пункт 3.6.
Счётчик не работает в рабочей части Сервиса, на сайтах проектов и на страницах, открываемых по ссылке с ограниченным доступом: содержимое документов, задач и иных материалов Пользователей в него не передаётся ни в каком виде. Отдельно исключены страницы, адрес которых содержит одноразовый код (подтверждение регистрации, установка нового пароля). Ограничение задано в коде Сервиса разрешительным списком адресов и проверяется автоматически при каждой сборке.
Собственная статистика Сервиса. Оператор самостоятельно, на своих серверах и без передачи третьим лицам, учитывает источник перехода, с которого началось знакомство с Сервисом (метки рекламных ссылок, доменное имя и путь сайта-источника без параметров запроса, страница входа), и шаги регистрации. Источник перехода хранится в cookie 30 календарных дней и далее — в записи о компании; сведения о шагах регистрации хранятся 90 календарных дней и удаляются вместе с компанией при её закрытии. Содержимое документов, задач, поисковых запросов и адреса электронной почты в этот учёт не включаются.
8. Меры по защите персональных данных
Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий. К таким мерам относятся, в частности: разграничение доступа, использование защищённых каналов связи, применение средств защиты учётных данных в Сервисе, ограничение доступа к персональным данным на уровне информационной системы, ведение внутреннего контроля соответствия обработки требованиям 152-ФЗ.
9. Права субъекта персональных данных
Субъект персональных данных вправе:
- получать сведения об обработке его персональных данных (ст. 14 152-ФЗ);
- требовать уточнения персональных данных, их блокирования или уничтожения (ст. 14, 21 152-ФЗ);
- отозвать согласие на обработку персональных данных, если обработка основана на согласии (ч. 2 ст. 9 152-ФЗ);
- обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
- на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.
Для реализации прав направьте запрос на system@scopework.ru с темой «Запрос субъекта ПДн» и приложением документа, удостоверяющего личность (для физического лица) либо документов, подтверждающих полномочия представителя. Оператор рассматривает запрос и направляет ответ в срок не более 30 календарных дней с даты его получения, если иной срок не установлен законом.
10. Обязанность предоставления достоверных данных
Субъект персональных данных обязан сообщать Оператору достоверные данные и своевременно информировать об их изменении. Оператор исходит из того, что предоставленные субъектом данные достоверны, актуальны и не нарушают прав третьих лиц.
11. Обработка персональных данных несовершеннолетних
Сервис предназначен для пользователей, достигших возраста 18 лет, либо возраста полной дееспособности в соответствии с применимым законодательством. Оператор не намерен осознанно собирать персональные данные несовершеннолетних без согласия законных представителей, если такое согласие требуется законом. Если вам стало известно, что несовершеннолетний предоставил персональные данные без надлежащего согласия, направьте сообщение на system@scopework.ru — Оператор примет меры по удалению таких данных в разумный срок.
12. Уполномоченный орган
Субъект персональных данных вправе обратиться с жалобой на действия или бездействие Оператора в Роскомнадзор (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций). Актуальные контакты и порядок обращения размещены на официальном сайте Роскомнадзора: rkn.gov.ru.
13. Изменение Политики
Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения по адресу https://scopework.ru/privacy, если иной срок вступления не указан дополнительно в тексте новой редакции. При существенных изменениях Оператор направляет уведомление на адрес электронной почты, указанный в учётной записи, либо отображает уведомление в интерфейсе Сервиса. Рекомендуется периодически знакомиться с актуальной редакцией Политики.
14. Контакты Оператора
По всем вопросам, в том числе по обработке персональных данных и работе Сервиса: system@scopework.ru.