Политика обработки персональных данных

Настоящая Политика объясняет, какие персональные данные мы используем при работе с посетителями сайта, заказчиками и пользователями CRM, для чего они нужны, где хранятся и как обратиться по вопросам их обработки.

1 Оператор и область действия

1.1. Оператор персональных данных — индивидуальный предприниматель Скрицкая Юлия Викторовна, ИНН 231295699557, ОГРНИП 323237500365055. Далее в документе — «Оператор» или «мы».

1.2. Политика применяется к информационному сайту https://impulse24.ru и собственной CRM-системе https://app.impulse24.ru, а также к обращениям, переписке и расчётам, связанным с услугами «Импульс 24». Документ доступен без регистрации по ссылке «Политика обработки персональных данных» на обоих ресурсах.

1.3. Политика распространяется на посетителей указанных ресурсов, лиц, направивших запрос, заказчиков — физических лиц и индивидуальных предпринимателей, представителей организаций, плательщиков и пользователей CRM, которым предоставлен доступ.

1.4. Работа с данными посетителей сайтов заказчиков и данными третьих лиц в проектах регулируется также разделом 6. Политика не предоставляет самостоятельного разрешения на обработку таких данных и не заменяет документы владельца стороннего сайта.

2 Основные правила обработки

2.1. Мы применяем Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», а для рекламы, расчётов и хранения документов — применимые требования законодательства о рекламе, связи, налоговом и бухгалтерском учёте.

2.2. Для каждой цели используем только необходимые данные. Не объединяем базы для несовместимых целей, уточняем выявленные неточности и прекращаем обработку, когда её цель достигнута и отсутствует другое законное основание.

2.3. Основания обработки: согласие человека; заключение договора по его инициативе и исполнение договора с ним; исполнение обязанностей по закону; осуществление законных интересов Оператора или третьих лиц при условии, что права и свободы человека не нарушаются. Для представителей организаций основание оценивается отдельно от договора с организацией.

2.4. Посещение сайта, ознакомление с Политикой, регистрация пользователя или оплата услуг сами по себе не означают согласия на рекламу. Если обработка основана на согласии, оно оформляется отдельно от иных подтверждаемых документов и может быть отозвано.

2.5. При применении согласия используется пункт 1 части 1 статьи 6 закона № 152-ФЗ; при заключении и исполнении договора с субъектом — пункт 5; при исполнении установленных законом обязанностей — пункт 2; при осуществлении законных интересов с соблюдением прав человека — пункт 7. Конкретные обязанности по расчётам и документам следуют, в частности, из Налогового кодекса РФ, закона № 54-ФЗ и, когда применимо, закона № 402-ФЗ. Ссылка на закон № 152-ФЗ сама по себе не заменяет конкретного основания обработки.

2.6. Данные поступают от самого человека, уполномоченного представителя заказчика, при использовании сайта и CRM, а сведения о расчётах — от участников платежа и обслуживающих организаций. Сбор из других источников допускается только при определённых заранее целях и законном основании. Обязательные поля ограничиваются сведениями, без которых невозможно выполнить выбранный запрос; дополнительные поля заполняются добровольно.

3 Какие данные и для чего мы используем

3.1 Обращения и консультации

Категории субъектов — посетители, заявители и представители потенциальных заказчиков.

Цель — принять запрос, ответить на вопросы, подготовить предложение и согласовать условия работы. Данные: имя, телефон, адрес электронной почты, сведения о компании и должности, содержание обращения и переписка — в пределах сведений, предоставленных заявителем и необходимых для ответа.

Основание — заключение договора по инициативе самого человека, исполнение договора либо отдельное согласие в зависимости от содержания обращения. Данные обращения без заключённого договора хранятся до завершения его рассмотрения, но не более 365 календарных дней с последнего содержательного взаимодействия, если отсутствует иное законное основание. После завершения цели применяется порядок удаления из раздела 9.

3.2 Создание доступа и сопровождение клиента

Категории субъектов — заказчики, их представители и пользователи CRM, которым предоставлен доступ.

Цель — зарегистрировать пользователя, предоставить доступ к его проектам, оказывать услуги и поддержку. Данные: имя, телефон и/или e-mail, логин и идентификатор пользователя, сведения о заказчике и роли пользователя, проекты, настройки доступа, статусы задач, обращения в поддержку и деловая переписка. Пароль при его использовании хранится в виде защищённого проверочного значения, а не в открытом виде.

Основание — договор с самим субъектом, согласие либо законный интерес в обеспечении доступа уполномоченным представителям заказчика при соблюдении их прав. Заказчик передаёт сведения представителей при наличии надлежащего основания и сообщает им об обработке.

Период обработки — срок предоставления доступа и исполнения соответствующих обязательств. После закрытия доступа данные, не нужные для расчётов, выполнения закона или защиты прав, удаляются в порядке раздела 9. Записи, необходимые для подтверждения исполнения договора, хранятся отдельно до трёх лет после прекращения договора, если закон или конкретный спор не требуют иного срока.

3.3 Расчёты и документы

Категории субъектов — заказчики, плательщики и их представители.

Цель — выставлять счета, учитывать оплату, оформлять документы, производить возвраты и исполнять требования закона. Данные: Ф. И. О. заказчика или плательщика, необходимые реквизиты, ИНН при необходимости, контакт для документов, номер заказа, сумма, дата и идентификатор платежа, история расчётов, реквизиты для возврата.

Основание — договор и требования законодательства. Налоговые документы сохраняются не менее пяти лет, а если для конкретного документа установлен больший срок — в течение этого срока. Для документов бухгалтерского учёта, когда такой учёт обязателен, применяются соответствующие обязательные сроки. Начало исчисления срока определяется применимым законом.

Полные реквизиты банковской карты и её защитный код не требуются Оператору и не должны направляться через формы сайта или переписку. При оплате через платёжную форму такие данные вводятся на стороне обслуживающей платёжной организации.

3.4 Безопасность и подтверждение действий

Категории субъектов — посетители сайта, пользователи CRM и лица, чьи юридически значимые действия фиксируются.

Цель — защищать доступ, расследовать ошибки и подтверждать юридически значимые действия. Данные: IP-адрес, время и результат входа, сведения о браузере и устройстве, идентификаторы сеанса и пользователя, события безопасности, дата, способ и версия принятого документа, предоставления или отзыва согласия.

Основание — законный интерес в защите системы и прав сторон, а также выполнение обязанностей Оператора. Обычные технические журналы хранятся до 90 календарных дней. Подтверждения согласий и юридически значимых действий — в период соответствующей обработки и до трёх лет после её завершения для защиты прав. Данные конкретного инцидента или спора сохраняются до его разрешения и исполнения обязательных требований.

4 Яндекс Метрика и файлы cookies

Категории субъектов для веб-аналитики и cookies — посетители соответствующего сайта и пользователи его веб-интерфейса. Основания и разграничение необходимых и аналитических технологий приведены ниже.

4.1. Для веб-аналитики используется только сервис «Яндекс Метрика». Его поставщик — ООО «ЯНДЕКС», адрес: Россия, г. Москва, ул. Льва Толстого, д. 16. Условия сервиса: https://yandex.ru/legal/metrica_termsofuse/ru/. Цель аналитики — оценивать посещаемость, источники переходов, востребованность страниц и удобство сайта.

4.2. В зависимости от настроек счётчика обрабатываются IP-адрес, идентификаторы браузера и сеанса, адреса посещённых страниц и источников перехода, время посещения, действия на страницах, сведения о браузере, операционной системе, устройстве, языке и приблизительном регионе. Прямо идентифицирующие сведения из заявок, пароли, платёжные данные и содержимое клиентских проектов не должны передаваться в счётчик через адреса страниц, заголовки, события или параметры.

4.3. Необязательная аналитика на ресурсах Оператора включается после отдельного согласия посетителя; до его получения загрузка счётчика и передача ему аналитических событий не допускаются. Продолжение просмотра страницы не считается согласием. Отказ не препятствует просмотру информации, обращению или доступу к оплаченной услуге. Изменить выбор можно через настройки cookies на сайте; также доступен отзыв по электронной почте Оператора. После отказа дальнейшая аналитическая передача прекращается; удаление ранее полученных данных выполняется по пункту 4.6 и разделу 9.

4.4. Необходимые cookies используются для работы сеанса, входа, безопасности и сохранения выбранных настроек. Они обрабатываются в объёме, необходимом для запрошенной функции, на основании договора или законного интереса при соблюдении прав посетителя. Аналитические cookies используются для цели, указанной в пункте 4.1, на основании отдельного согласия.

4.5. Выбор посетителя в отношении аналитики сохраняется не более 365 календарных дней, после чего запрашивается повторно. Срок действия конкретного cookie зависит от его назначения: например, _ym_uid и _ym_d — один год, _ym_isad — 20 часов. Полный состав фактически используемых cookies и сроки раскрываются в отдельных Правилах использования cookies. Описание поставщика: https://yandex.ru/support/metrica/ru/general/cookie-usage.

4.6. Срок действия cookie не равен сроку хранения статистики в сервисе Яндекса. Аналитические данные используются до достижения цели или отзыва согласия, если нет иного законного основания. При прекращении основания Оператор прекращает соответствующий сбор и организует удаление данных в установленном законом порядке, в том числе с обращением к поставщику сервиса. Выгрузки аналитики, содержащие персональные данные, в собственных системах Оператора хранятся не более 365 календарных дней с формирования, если цель не достигнута раньше.

4.7. Вебвизор и другие дополнительные функции, расширяющие состав собираемых сведений, допускаются только после настройки исключений для конфиденциальных данных, раскрытия состава обработки и получения необходимого согласия. Политика сама по себе не означает, что такие функции включены. На страницах CRM с данными клиентов не допускается запись содержимого проектов и полей с персональными данными средствами веб-аналитики.

5 Сервисные и рекламные сообщения

5.1. Сервисные сообщения направляются для исполнения договора, предоставления доступа, информирования об оплате, состоянии проекта и безопасности. Они не должны содержать рекламных предложений, если согласие на рекламу не получено.

5.2. Рекламные сообщения о собственных услугах Оператора направляются посетителям, заявителям и клиентам, отдельно подписавшимся на рекламу, по выбранным ими каналам e-mail, SMS или push. Основания — отдельное согласие на обработку данных для продвижения услуг и предварительное согласие на получение рекламы с учётом статьи 15 закона № 152-ФЗ и статьи 18 закона № 38-ФЗ. Данные: имя, e-mail, телефон, идентификатор push-подписки, выбранные каналы, история согласий и отказов. Неиспользуемые каналы не подключаются автоматически. Способ отправки должен соответствовать ограничениям законодательства о рекламе и связи.

5.3. Обработка для рекламной рассылки длится до отзыва согласия, отказа от рекламы либо истечения срока отдельного согласия, в зависимости от того, что наступит раньше. Отказаться можно по ссылке отписки, через доступные настройки или письмом на integrator-p@yandex.ru. Реклама прекращается немедленно после получения требования. Отказ от рекламы не прекращает оказание услуг. Доказательства согласия и отказа сохраняются отдельно по пункту 3.4; они не используются для продолжения рассылки.

5.4. Согласия не отмечаются заранее и не объединяются с обязательным принятием оферты или ознакомлением с Политикой. Оператор фиксирует содержание и версию согласия, дату, способ подтверждения, идентификатор лица или подписки, разрешённые цели и каналы, а также последующий отзыв. При подписке на рекламу применяется подтверждение принадлежности выбранного адреса или номера либо иной способ, позволяющий доказать волеизъявление именно адресата. Одно только разрешение браузера на уведомления не заменяет раскрытия рекламной цели и фиксации согласия на рекламу.

5.5. При отзыве согласия минимальный идентификатор адресата и факт отказа могут сохраняться в отдельном списке запретов на основании обязанности прекратить рекламу и законного интереса в предотвращении повторной отправки. Такие сведения используются только для исключения адресата из рассылок, пока действует соответствующая система рассылки и сохраняется риск повторного включения. Необходимость хранения проверяется не реже одного раза в год; после её прекращения данные уничтожаются в порядке раздела 9.

6 Данные в проектах и на сайтах заказчиков

6.1. Если Оператор по заданию заказчика настраивает Яндекс.Метрику на его сайте или получает доступ к отчётам, роли и обязанности сторон определяются фактической обработкой и договором. Когда цели определяет заказчик, обработка Оператором выполняется по документированному поручению в соответствии с частью 3 статьи 6 закона № 152-ФЗ.

6.2. В поручении устанавливаются цель, категории субъектов и данные, операции, срок, требования конфиденциальности и безопасности, порядок привлечения других лиц, реагирования на обращения и инциденты, возврата или уничтожения данных. Оператор не использует данные посетителей сайта заказчика для собственной рекламы или иных самостоятельных целей без отдельного законного основания.

6.3. Владелец сайта заказчика обеспечивает информирование его посетителей и необходимые согласия в пределах своей роли. Настоящая Политика не заменяет политику владельца такого сайта и не распространяет автоматически согласие посетителя на другие сайты. За собственные действия каждая сторона отвечает в пределах закона.

6.4. Если в проект поступают сведения о третьих лицах, включая телефон, источник, регион, дату события или результаты проверки, их обработка и предоставление допускаются только при наличии основания, охватывающего соответствующие цели, операции и получателей. Согласие заказчика на обработку его собственных данных не является согласием этих третьих лиц. Договор с заказчиком сам по себе не создаёт основания для обработки данных человека, не являющегося его стороной, выгодоприобретателем или поручителем.

6.5. При самостоятельном определении целей получения, отбора или предоставления таких сведений Оператор исполняет собственные обязанности по закону № 152-ФЗ, включая информирование при получении данных не от самого человека в случаях, установленных статьёй 18. Основания, состав сведений и сроки соответствующей обработки должны быть определены до её начала. Публикация этой Политики не легализует обработку без основания.

6.6. При обработке по поручению заказчика доступ ограничивается задачей и сроком поручения. После его завершения данные возвращаются или уничтожаются в согласованном порядке с соблюдением закона. Аудиозаписи разговоров не являются данными, необходимыми для регистрации и сопровождения пользователей CRM, и не запрашиваются для этих целей.

6.7. Категории субъектов при обработке по поручению — посетители сайтов заказчика и физические лица, данные которых законно включены в его проект. Предмет поручения должен прямо определять состав сведений, основание их получения, получателей и срок. Общая ссылка на договор оказания услуг или заверение поставщика не заменяет проверки наличия основания для конкретной обработки. При отсутствии необходимых сведений соответствующая обработка не начинается либо приостанавливается до устранения нарушения с соблюдением закона.

7 Хранение в России и получатели данных

7.1. Собственная CRM, её базы персональных данных и резервные копии размещаются на серверах Timeweb на территории Российской Федерации. Для обработки, описанной в Политике, используются российские площадки. Трансграничная передача персональных данных Оператором не осуществляется.

7.2. Сведения о российских площадках Timeweb Cloud опубликованы провайдером: https://timeweb.cloud/docs/nashi-data-centry. В Санкт-Петербурге указаны, в частности, площадки на ул. Цветочной, д. 21, лит. А, и ул. Жукова, д. 43; в Москве — на ул. Подольских Курсантов, д. 15Б, стр. 1, и Алтуфьевском шоссе, д. 33Г. Этот перечень описывает площадки провайдера и не означает размещение данных Оператора на каждой из них. Фактическая площадка определяется заказом на инфраструктуру и документами провайдера.

7.3. Официальные реквизиты Timeweb Cloud: ООО «ТАЙМВЭБ.КЛАУД», ИНН 7810945525, ОГРН 1227800052215; юридический адрес: 420500, Республика Татарстан, м.р-н Верхнеуслонский, г.п. город Иннополис, г. Иннополис, ул. Университетская, д. 7, оф. 605. Юридический адрес провайдера не является адресом базы данных. Источник: https://timeweb.cloud/contacts. Сторона договора на конкретную услугу Timeweb определяется документами на эту услугу.

7.4. Помимо размещения собственной CRM, отдельные сведения обрабатываются российскими сервисами для соответствующей цели: Яндекс.Метрикой — для аналитики; почтовой службой — для переписки; банками, платёжными сервисами, операторами фискальных данных и электронного документооборота — для расчётов и документов, когда такие сервисы используются. Это не означает хранение всех копий исключительно в собственной CRM.

7.5. Получателям передаётся только необходимый объём. Техническим исполнителям доступ предоставляется по документированному поручению, если они обрабатывают данные по поручению Оператора. Банки и иные лица могут действовать как самостоятельные операторы в пределах своих законных функций. Перечень получателей и сведения о передаче предоставляются по запросу в объёме, предусмотренном законом.

7.6. Пользователи заказчика получают доступ только к данным в пределах своих полномочий. Передача во внешнюю CRM заказчика выполняется при наличии надлежащего основания и согласованных условий. Интеграция, предполагающая трансграничную передачу, в рамках настоящей Политики не подключается.

7.7. Неограниченному кругу лиц персональные данные не раскрываются. Передача государственным органам осуществляется при наличии законного основания. Подключение нового сервиса не должно расширять цели ранее полученного согласия; при необходимости сведения об обработке обновляются и запрашивается новое согласие.

8 Способы обработки и защита

8.1. Обработка выполняется автоматизированно и, когда требуется для ответа, обслуживания или проверки документов, с участием уполномоченного лица. В пределах каждой цели допускаются сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, предоставление определённому получателю, обезличивание, блокирование, удаление и уничтожение.

8.2. Оператор определяет актуальные угрозы и необходимый уровень защищённости информационных систем, подбирает и реализует меры по статье 19 закона № 152-ФЗ, постановлению Правительства РФ № 1119 и применимым требованиям приказа ФСТЭК России № 21. В систему защиты входят разграничение доступа по ролям и проектам, защищённое соединение, аутентификация, резервное копирование, обновление программного обеспечения и учёт событий безопасности. Конкретные настройки и сведения ограниченного доступа в публичной Политике не раскрываются.

8.3. Оператор организует проверку мер защиты, порядок реагирования на обращения и инциденты, прекращение доступа при утрате полномочий и обязательства конфиденциальности для привлечённых лиц. Пользователям не следует сообщать пароли другим лицам или включать лишние персональные данные в свободные поля и вложения.

8.4. При инциденте, подпадающем под часть 3.1 статьи 21 закона № 152-ФЗ, Оператор уведомляет Роскомнадзор о произошедшем в течение 24 часов с момента выявления, а о результатах внутреннего расследования — в течение 72 часов. При обработке по поручению заказчика Оператор также без промедления уведомляет его в предусмотренном договором порядке.

8.5. Для целей, описанных в настоящей Политике, не запрашиваются специальные категории данных о здоровье, политических взглядах, религиозных убеждениях и интимной жизни. Биометрические данные для установления личности не обрабатываются. Решения, порождающие юридические последствия или иным образом затрагивающие права человека, исключительно на основе автоматизированной обработки не принимаются.

8.6. Организацию обработки обеспечивает ИП Скрицкая Юлия Викторовна. Оператор ведёт внутренний учёт целей, оснований, систем, получателей и сроков обработки; оценивает возможный вред субъектам и контролирует соблюдение установленных правил. Перед началом обработки, требующей уведомления, подаёт уведомление в Роскомнадзор и актуализирует его при изменениях в установленные законом сроки. Публикация Политики не является подтверждением внесения Оператора в реестр.

9 Прекращение обработки и уничтожение

9.1. Сроки в разделе 3 являются предельными для соответствующей цели. Достижение цели раньше предельного срока является основанием прекратить обработку, если нет другого законного основания. При отзыве согласия обработка на его основании прекращается; данные могут сохраняться только для иных целей и на основаниях, допускаемых законом.

9.2. При достижении цели или отзыве согласия данные уничтожаются в срок не более 30 календарных дней, если иной порядок или срок не следует из закона, договора в допустимых законом пределах либо другого самостоятельного основания обработки. При требовании о прекращении обработки применяется срок до 10 рабочих дней с возможностью мотивированного продления не более чем на пять рабочих дней и предусмотренные законом исключения.

9.3. На период проверки сведений о неправомерной обработке или неточности данные блокируются в предусмотренных законом случаях. Подтверждённые неточности устраняются в течение семи рабочих дней после представления необходимых сведений. Если субъект представил сведения, подтверждающие незаконное получение данных или отсутствие необходимости в них для заявленной цели, данные уничтожаются в течение семи рабочих дней. При выявлении неправомерной обработки она прекращается в течение трёх рабочих дней; если обеспечить её правомерность невозможно, данные уничтожаются в течение 10 рабочих дней с выявления. Оператор сообщает заявителю о принятых мерах и принимает разумные меры для уведомления получателей данных; при предусмотренных законом обстоятельствах уведомляет Роскомнадзор.

9.4. Удаление охватывает рабочие системы и копии у лиц, действующих по поручению. Для резервных копий устанавливается цикл обновления, обеспечивающий соблюдение срока уничтожения. Если уничтожение в установленный срок невозможно, данные блокируются и уничтожаются не позднее шести месяцев, если иной срок не установлен федеральным законом. При восстановлении из копии ранее удалённые данные не возвращаются в обычную обработку.

9.5. Уничтожение данных выполняется способом, исключающим восстановление их содержания. В соответствии с приказом Роскомнадзора от 28.10.2022 № 179 при автоматизированной или смешанной обработке уничтожение подтверждается актом и выгрузкой из журнала регистрации событий информационной системы; при исключительно неавтоматизированной обработке — актом. Подтверждающие документы хранятся три года с момента уничтожения. Они содержат предусмотренные приказом сведения и не используются как способ сохранить уничтожаемую базу.

9.6. Сроки 90 и 365 дней, а также период до трёх лет для отдельных доказательств в разделе 3 — установленные Оператором предельные сроки для соответствующих целей, а не универсальные сроки закона. Хранение прекращается раньше при утрате необходимости. Данные для защиты прав сохраняются только в необходимом составе с ограниченным доступом; наличие спора не оправдывает сохранение всей базы. Для обязательных документов применяются специальные сроки закона.

10 Ваши права и порядок обращения

10.1. Вы вправе получить сведения о целях, основаниях, источниках, получателях и сроках обработки, потребовать уточнения, блокирования или уничтожения данных при наличии оснований, отозвать согласие, потребовать прекращения обработки и рекламы, а также обжаловать действия Оператора в Роскомнадзор или суд.

10.2. Напишите на integrator-p@yandex.ru или направьте письмо по адресу: 350062, г. Краснодар, ул. им. Игнатова, д. 4/3, корп. 2, кв. 249. Укажите суть обращения и сведения, позволяющие найти данные или учётную запись. Регистрация в CRM для обращения не требуется. Не направляйте пароли, данные банковской карты и избыточные документы.

10.3. Для формального запроса о доступе к персональным данным применяются требования части 3 статьи 14 закона № 152-ФЗ: номер основного документа, удостоверяющего личность субъекта или представителя, дата выдачи и выдавший орган, сведения об отношениях с Оператором либо иные подтверждения обработки, подпись заявителя или представителя. Электронный запрос может быть подписан электронной подписью в установленном законом порядке. Копия паспорта по умолчанию не требуется. Эти требования к формальному запросу о доступе не делают электронную подпись или паспорт обязательными для обычной отписки от рекламы. Проверка личности должна быть соразмерна запросу и необходима для защиты данных.

10.4. Ознакомление со своими данными предоставляется бесплатно. Ответ на запрос о доступе либо мотивированный отказ со ссылкой на закон предоставляется в течение 10 рабочих дней; срок может быть продлён не более чем на пять рабочих дней с мотивированным уведомлением. Для уточнения, удаления и других требований применяются специальные сроки закона. Оператор не раскрывает данные другого человека без основания. По запросу Роскомнадзора сведения предоставляются в установленные законом сроки.

10.5. Политика действует с даты опубликования. Дата и редакция указаны в начале документа. Изменение Политики не расширяет ранее выданное согласие. При новой цели или изменении обработки, требующем согласия, оно запрашивается отдельно до начала такой обработки.