Политика обработки персональных данных

Антропов Сергей Витальевич, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» в соответствии с Федеральным законом от 27.11.2018 № 422-ФЗ, ИНН 671501564498, e-mail: artallrights@gmail.com, правообладатель программного обеспечения «РИД Вектор» (далее — «Оператор», «Сервис»), в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» публикует настоящую Политику — документ, определяющий политику Оператора в отношении обработки персональных данных и реализуемые требования к их защите.

Общие положения

1.1. Политика разработана в соответствии с Конституцией РФ, Гражданским кодексом РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

1.2. Политика распространяется на все персональные данные, которые Оператор получает и обрабатывает в связи с работой сайта ridvector.ru, документации, публичных форм и самого Сервиса.

1.3. Политика действует бессрочно до замены новой редакцией и размещается в постоянном свободном доступе по адресу ridvector.ru/policy.

1.4. Использование сайта и Сервиса означает согласие субъекта с настоящей Политикой в части, применимой к нему. При несогласии следует прекратить использование Сервиса.

1.5. Условия использования Сервиса определяются публичной офертой. При расхождении между Политикой и Офертой в вопросах обработки персональных данных приоритет имеет настоящая Политика.

Термины

Термин	Значение
Персональные данные (ПДн)	Любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (ст. 3 Закона).
Обработка ПДн	Любое действие или совокупность действий с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
Субъект	Физическое лицо, к которому относятся ПДн.
Оператор	Лицо, самостоятельно определяющее цели и состав обрабатываемых ПДн, — в случаях, описанных в п. 3.2.
Клиент	Индивидуальный предприниматель или юридическое лицо, получившее доступ к Сервису на условиях Оферты.
Пользователь	Физическое лицо — сотрудник или представитель Клиента, работающий в Сервисе под учётной записью.
Данные Клиента	Сведения, которые Клиент и его Пользователи самостоятельно размещают в Сервисе: реестр объектов, договоры, анкеты, файлы.
Публичная форма	Анкета, размещаемая Клиентом по ссылке и заполняемая физическим лицом без регистрации в Сервисе.

Разграничение ролей: когда Оператор — оператор, а когда — обработчик

КЛЮЧЕВОЕ РАЗГРАНИЧЕНИЕ

Данные, которые Клиент размещает в Сервисе (правообладатели, авторы, подписанты, контрагенты): оператором является Клиент. Оператор Сервиса обрабатывает их по поручению Клиента (ч. 3 ст. 6 Закона) и не определяет ни целей, ни состава такой обработки.

Данные, которые Оператор получает сам (учётные записи Пользователей, обращения по электронной почте, технические журналы сайта и Сервиса): в отношении них Оператор действует как самостоятельный оператор и отвечает за обработку в полном объёме.

3.1. В отношении Данных Клиента Оператор: обрабатывает их исключительно в объёме и в целях, необходимых для предоставления Сервиса и технической поддержки; не использует их в собственных целях; не передаёт третьим лицам иначе как по поручению Клиента или по основаниям, прямо предусмотренным законом; обеспечивает конфиденциальность и меры защиты по ст. 19 Закона.

3.2. Оператор выступает самостоятельным оператором в отношении:

данных Пользователей, необходимых для создания и ведения учётной записи;
данных лиц, обратившихся к Оператору по электронной почте, включая обращения с сайта;
технических данных посетителей сайта и Сервиса (п. 10).

3.3. Обязанности оператора в отношении лиц, чьи данные размещает Клиент, — получение согласий, уведомление уполномоченного органа, ответы на обращения субъектов, определение сроков хранения — несёт Клиент. Оператор Сервиса содействует Клиенту в их исполнении техническими средствами (экспорт, уточнение, удаление записей).

3.4. Если субъект обратился к Оператору по поводу данных, размещённых Клиентом, Оператор в разумный срок перенаправляет обращение соответствующему Клиенту и уведомляет об этом субъекта, поскольку не вправе самостоятельно распоряжаться такими данными.

Категории субъектов и состав обрабатываемых данных

Категория субъектов	Состав данных
Посетители сайта	IP-адрес, сведения о браузере и устройстве (User-Agent), дата и время обращения, запрошенный адрес страницы, код ответа. Специальных, биометрических данных и данных о местоположении не собирается.
Пользователи (сотрудники Клиента)	Адрес электронной почты, фамилия, имя и отчество, роль в организации, принадлежность к организации, дата создания учётной записи, дата последней смены пароля, хэш пароля, настройки уведомлений; при включении двухфакторной аутентификации — соответствующий секрет и резервные коды в защищённом виде. Дополнительно: журнал действий в Сервисе, журнал сессий (IP-адрес, User-Agent, время активности, раздел).
Лица, обратившиеся к Оператору	Адрес электронной почты, имя и иные сведения, которые лицо указало в обращении, содержание переписки.
Лица, чьи данные размещает Клиент (обработка по поручению)	Состав определяется Клиентом. Типично: фамилия, имя, отчество; гражданство; адрес; адрес электронной почты и телефон; ИНН; налоговый статус; данные документа, удостоверяющего личность; банковские реквизиты; доли в правах и суммы вознаграждения; сведения о создании и использовании объектов интеллектуальной деятельности; файлы, загруженные в Сервис.
Лица, заполняющие публичную форму	Состав определяется Клиентом при создании формы. Заполнение производится добровольно; форма может содержать обязательную отметку о согласии на обработку персональных данных, текст которого определяет Клиент.

ЧЕГО ОПЕРАТОР НЕ ДЕЛАЕТ

Не собирает биометрические персональные данные и не обрабатывает специальные категории персональных данных (ст. 10 Закона) в собственных целях. Размещение таких данных Клиентом в Сервисе допускается только при наличии отдельного письменного разрешения Оператора (п. 8.6 Оферты).

Не размещает на сайте и в Сервисе рекламных и аналитических счётчиков, пикселей и трекеров третьих лиц; не использует данные для таргетированной рекламы; не продаёт и не передаёт данные для рекламных целей.

Не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки персональных данных (ст. 16 Закона).

Цели обработки

Цель	Категории данных
Предоставление доступа к Сервису, идентификация и аутентификация Пользователей, разграничение прав	Данные Пользователей
Исполнение договора с Клиентом, выставление счетов, документооборот	Данные Пользователей и представителей Клиента
Техническая поддержка, диагностика и устранение сбоев	Данные Пользователей, технические данные, при необходимости — временный доступ к Данным Клиента по его поручению
Обеспечение работоспособности и безопасности: защита от несанкционированного доступа, ограничение частоты запросов, расследование инцидентов	Технические данные, журналы
Ведение журнала действий Пользователей для целей аудита и подтверждения целостности записей	Идентификатор, адрес электронной почты, ФИО и роль Пользователя, характер действия
Ответы на обращения и переписка	Данные лиц, обратившихся к Оператору
Исполнение обязанностей, возложенных законодательством РФ	Все категории — в необходимом объёме
Функционирование Сервиса по назначению: ведение реестра объектов, формирование договоров и приложений, расчёт вознаграждения и выплат	Данные Клиента — по поручению Клиента

5.1. Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка, несовместимая с целями сбора (ч. 2 ст. 5 Закона).

5.2. Обрабатываются только те данные, которые отвечают целям обработки; их содержание и объём не являются избыточными (ч. 5 ст. 5 Закона).

Правовые основания обработки

6.1. Обработка осуществляется на следующих основаниях:

Исполнение договора, стороной которого либо выгодоприобретателем является субъект, а также заключение договора по инициативе субъекта (п. 5 ч. 1 ст. 6 Закона) — для данных Пользователей и представителей Клиента;
Поручение оператора (ч. 3 ст. 6 Закона) — для Данных Клиента, на основании Оферты, являющейся поручением на обработку;
Согласие субъекта (п. 1 ч. 1 ст. 6 Закона) — для обращений по электронной почте и в иных случаях, когда данные предоставлены субъектом добровольно;
Осуществление прав и законных интересов Оператора или третьих лиц при условии, что не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6 Закона) — для технических журналов, обеспечения безопасности и защиты Сервиса от злоупотреблений;
Исполнение обязанностей, возложенных законодательством (п. 2 ч. 1 ст. 6 Закона).

6.2. Согласие, если оно является основанием обработки, даётся субъектом свободно, своей волей и в своём интересе, конкретно, предметно, информированно, сознательно и однозначно.

6.3. Согласие может быть отозвано в любой момент направлением уведомления по адресу, указанному в разделе 14. При отзыве согласия Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней, если отсутствуют иные законные основания для продолжения обработки (ч. 5 ст. 21 Закона).

Порядок и способы обработки

7.1. Обработка осуществляется с использованием средств автоматизации и без их использования; совершаются любые действия, предусмотренные ст. 3 Закона, в пределах целей раздела 5.

7.2. Источники получения данных: непосредственно от субъекта (регистрация, заполнение форм, переписка); от Клиента при размещении им данных в Сервисе; автоматически при обращении к сайту и Сервису (технические данные).

7.3. Данные каждой организации изолированы: доступ Пользователя ограничен пространством его организации, а обращение к данным иной организации технически неотличимо от обращения к несуществующим данным.

7.4. Оператор не осуществляет обработку в целях профилирования, маркетинговых рассылок и не передаёт данные третьим лицам в рекламных целях.

Передача данных третьим лицам

8.1. Оператор не раскрывает и не распространяет персональные данные, за исключением случаев, прямо предусмотренных настоящим разделом и законодательством РФ.

8.2. Для функционирования Сервиса привлекаются поставщики инфраструктуры и сервисов, действующие по поручению Оператора и связанные обязательством конфиденциальности:

провайдеры вычислительной инфраструктуры, баз данных, кэширования и объектного хранилища — размещение и хранение данных;
провайдер почтовой доставки — отправка уведомлений и документов;
сервис телеметрии ошибок — при его включении: технические сведения об ошибке; настройки маскирования текста, полей ввода и медиа применяются по умолчанию.

8.3. По инициативе и настройке Клиента Сервис может передавать данные во внешние системы. Ответственность за правомерность такой передачи несёт Клиент:

Сервис проверки реквизитов организаций — передаётся ИНН для получения сведений об организации из открытых источников;
Реестры товарных знаков (в том числе ФИПС/Роспатент, TMview) — передаётся наименование либо ИНН правообладателя для поиска;
Учётная система Клиента (1С) — по адресу, указанному Клиентом, передаются сведения о договоре и его сторонах: наименование или ФИО, доля, ИНН, ОГРН, адрес электронной почты, телефон, налоговый режим, а также ссылки на документы. Данные документа, удостоверяющего личность, и банковские реквизиты в такой передаче не участвуют;
Telegram — при подключении Клиентом уведомлений: идентификатор получателя в Telegram, отображаемое имя, суммы и комментарии к выплатам.

8.4. Встроенный ИИ-ассистент. Сервис содержит помощника, обращающегося к внешней языковой модели. Режим доступа помощника к данным выбирает Клиент:

справочный — данные организации помощнику не передаются;
без персональных данных — данные передаются после автоматического маскирования ФИО, ИНН, СНИЛС, данных документов, адресов, телефонов, адресов электронной почты и дат рождения;
полный доступ — данные передаются провайдеру модели без маскирования. Режим включается Клиентом осознанно; функции распознавания документов и извлечения сведений работают только в нём.

Выбор режима и правомерность передачи данных провайдеру модели относятся к зоне ответственности Клиента как оператора.

8.5. Данные могут быть предоставлены государственным органам по мотивированному запросу в порядке и объёме, установленных законодательством РФ.

8.6. Трансграничная передача. Отдельные поставщики инфраструктуры и сервисов, привлекаемые Оператором либо подключаемые Клиентом (п. 8.3, 8.4), могут находиться за пределами Российской Федерации, вследствие чего обработка может сопровождаться трансграничной передачей персональных данных в порядке ст. 12 Закона. Сведения о конкретных поставщиках и юрисдикциях предоставляются по письменному запросу Клиента или субъекта.

Сроки обработки и хранения

Категория данных	Срок
Данные учётной записи Пользователя	В течение срока действия доступа Клиента к Сервису и до прекращения обработки по п. 9.2.
Технические журналы обращений (IP-адрес, User-Agent, адрес страницы)	90 дней с момента записи, далее удаляются автоматически.
Журнал сессий активности	30 дней, далее удаляется автоматически.
Обезличенная статистика активности по дням	180 дней, далее удаляется автоматически.
Журнал действий (аудит)	В течение срока действия доступа Клиента; хранится как подтверждение целостности записей и не удаляется по инициативе Пользователя.
Данные Клиента, включая размещённые им персональные данные	В течение срока действия доступа; после прекращения доступа могут быть удалены по истечении 30 дней (п. 9.6 Оферты).
Переписка по обращениям	До достижения цели обращения, но не более 3 лет, если законом не установлен иной срок.

9.1. Данные хранятся не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором (ч. 7 ст. 5 Закона).

9.2. По достижении целей обработки, при отзыве согласия либо по требованию субъекта данные подлежат уничтожению или обезличиванию. В Сервисе реализовано прекращение обработки учётной записи: доступ блокируется, а идентифицирующие сведения (адрес электронной почты, ФИО) обезличиваются.

9.3. Резервные копии, создаваемые в целях восстановления после сбоев, могут содержать данные в течение периода ротации копий; при восстановлении из копии ранее исполненные требования об уничтожении применяются повторно.

Файлы cookie и технические данные

10.1. Сервис использует исключительно технически необходимые файлы cookie:

сессионная cookie с токеном доступа — недоступна сценариям страницы, ограничена по домену и передаётся по защищённому соединению;
вспомогательная cookie-индикатор наличия сессии — используется интерфейсом для учёта активности;
cookie защиты от подделки межсайтовых запросов (CSRF).

Аналитических, рекламных и трекинговых cookie, а также счётчиков и пикселей третьих лиц не используется.

10.2. Отказ от технически необходимых cookie невозможен без потери работоспособности Сервиса: без них авторизация не сохраняется. Управление cookie доступно в настройках браузера.

10.3. Токен доступа дополнительно сохраняется в локальном хранилище браузера Пользователя и удаляется при выходе из Сервиса либо очистке данных браузера.

10.4. Технические журналы (п. 9) ведутся в целях обеспечения безопасности, диагностики и расследования инцидентов и не используются для составления профиля субъекта.

Меры защиты персональных данных

11.1. Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона, в том числе:

изоляция данных организаций и разграничение доступа по ролям; доступ предоставляется по принципу минимально необходимых полномочий;
шифрование сведений документа, удостоверяющего личность, и банковских реквизитов отдельным ключом организации; доступ к ним ограничен администратором организации, каждое обращение фиксируется в журнале;
хранение паролей в виде необратимых хэшей; поддержка двухфакторной аутентификации;
ведение журнала действий с криптографической цепочкой контрольных сумм, позволяющей выявить изменение записей задним числом;
передача данных между браузером и Сервисом по защищённому протоколу; политика безопасности содержимого, защита от подделки межсайтовых запросов, ограничение частоты обращений;
резервное копирование и контроль восстановления;
внутренний контроль соответствия обработки требованиям Закона и настоящей Политики; ознакомление лиц, осуществляющих обработку, с требованиями законодательства.

11.2. Оператор не гарантирует абсолютную защищённость информации: ни одна система передачи и хранения данных не является абсолютно защищённой. При выявлении инцидента, повлёкшего неправомерную передачу персональных данных, Оператор уведомляет уполномоченный орган и затронутых Клиентов в сроки, установленные ч. 3.1 ст. 21 Закона.

11.3. Клиент обязан обеспечивать конфиденциальность учётных данных своих Пользователей. Действия, совершённые под учётной записью, считаются совершёнными Пользователем.

Права субъекта персональных данных

12.1. Субъект вправе:

получать подтверждение факта обработки, сведения о правовых основаниях, целях, способах, сроках обработки, о лицах, имеющих доступ к данным, и об осуществлённой или предполагаемой трансграничной передаче (ст. 14 Закона);
знакомиться со своими данными, требовать их уточнения, блокирования или уничтожения, если данные неполны, устарели, неточны, получены неправомерно или не являются необходимыми для заявленной цели;
отзывать согласие на обработку;
возражать против обработки;
обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.

12.2. В Сервисе реализованы выгрузка данных учётной записи и связанных с нею записей в машиночитаемом формате и прекращение обработки учётной записи (п. 9.2).

12.3. Запрос направляется по адресу, указанному в разделе 14, и должен содержать: фамилию, имя, отчество субъекта; сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты учётной записи), либо сведения, иным образом подтверждающие обработку его данных; подпись субъекта или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью.

12.4. Оператор рассматривает запрос и направляет ответ в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта о причинах продления (ч. 1 ст. 20 Закона).

12.5. При подтверждении факта неточности данных Оператор уточняет их в течение 7 рабочих дней; при подтверждении неправомерности обработки — прекращает обработку и уничтожает данные в срок, не превышающий 30 дней (ст. 21 Закона).

12.6. Оператор вправе отказать в удовлетворении запроса в случаях, предусмотренных ч. 8 ст. 14 Закона, с мотивированным письменным ответом.

12.7. Если запрос касается данных, размещённых в Сервисе Клиентом, применяется п. 3.4: Оператор перенаправляет обращение Клиенту как оператору таких данных.

Изменения Политики

13.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента размещения по адресу ridvector.ru/policy, если иное не указано в самой редакции.

13.2. Дата редакции указана в заголовке документа. Рекомендуется периодически проверять актуальную редакцию.

13.3. Существенные изменения, затрагивающие права субъектов, доводятся до Клиентов по электронной почте.

Реквизиты и контакты Оператора

Реквизит	Значение
Оператор	Антропов Сергей Витальевич
Статус	Налогоплательщик налога на профессиональный доход (самозанятый) в соответствии с Федеральным законом от 27.11.2018 № 422-ФЗ
ИНН	671501564498
Адрес для обращений по вопросам обработки персональных данных	artallrights@gmail.com
Сайт Сервиса	ridvector.ru
Условия использования Сервиса	ridvector.ru/oferta

14.1. Обращения по вопросам обработки персональных данных, включая запросы по разделу 12 и отзыв согласия, направляются на указанный адрес электронной почты с темой «Персональные данные».

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ