Политика обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных Обществом с ограниченной ответственностью «Красофт» (далее — «Оператор») и принимаемые меры по обеспечению их безопасности.

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Гражданским кодексом РФ, Трудовым кодексом РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 21.07.2014 № 242-ФЗ, Постановлением Правительства РФ от 01.11.2012 № 1119, приказами ФСТЭК России и ФСБ России.

1.3. Политика подлежит обязательному размещению в свободном доступе в информационно-телекоммуникационной сети «Интернет» в соответствии с ч. 2 ст. 18.1 Федерального закона № 152-ФЗ.

2.1. Оператор внесён в Реестр операторов, осуществляющих обработку персональных данных, в порядке, установленном ст. 22 Федерального закона № 152-ФЗ.

2.2. В соответствии с ч. 1 ст. 18.1 Федерального закона № 152-ФЗ Оператором назначено лицо, ответственное за организацию обработки персональных данных:

Обработка персональных данных Оператором осуществляется на основе следующих принципов:

• законности и справедливости;
• ограничения обработки достижением конкретных, заранее определённых и законных целей;
• недопущения объединения баз данных, обработка которых ведётся в несовместимых целях;
• соответствия содержания и объёма обрабатываемых данных заявленным целям обработки;
• точности, достаточности, актуальности данных;
• хранения данных в форме, позволяющей определить субъекта, не дольше, чем требуется целями обработки;
• размещения баз данных, содержащих персональные данные граждан РФ, на территории Российской Федерации.

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов (в соответствии с записью в Реестре операторов Роскомнадзора № 26-26-052889):

• посетители сайта (анонимные пользователи, не прошедшие аутентификацию);
• клиенты — пользователи Сервиса «КРАСОФТ Платформа»;
• контрагенты и представители контрагентов;
• работники Оператора и уволенные работники;
• родственники работников Оператора.

4.2. Через сайт и Сервис «КРАСОФТ Платформа» Оператор собирает следующие персональные данные посетителей сайта:

• имя;
• адрес электронной почты;
• файлы cookie;
• сведения о действиях пользователя на сайте;
• сведения об оборудовании и браузере пользователя;
• IP-адрес;
• дата и время сессии;
• реферер (адрес предыдущей страницы).

4.3. Для клиентов Сервиса дополнительно обрабатываются:

• номер телефона;
• страна, город, регион;
• учётные данные (логин, хеш пароля, идентификаторы сессий и refresh-токенов).

4.4. В рамках договорной работы с контрагентами и представителями контрагентов:

• фамилия, имя, отчество;
• реквизиты документа, удостоверяющего личность (вид, серия, номер, дата выдачи, наименование органа, выдавшего документ);
• сведения о регистрации по месту жительства;
• контактные данные (номер телефона, адрес электронной почты);
• банковские реквизиты;
• идентификационный номер налогоплательщика (ИНН).

4.5. Категории персональных данных работников, уволенных работников и родственников работников установлены отдельно для каждой цели обработки в соответствии с записью в Реестре операторов и обрабатываются Оператором в рамках кадровых, бухгалтерских, налоговых и иных учётных процессов вне сайта и Сервиса.

4.6. Данные, обрабатываемые по поручению клиента. В рамках использования Сервиса клиент (как самостоятельный оператор) размещает сведения о своих контрагентах, сотрудниках и иных субъектах. В отношении таких данных Оператор действует как лицо, осуществляющее обработку по поручению клиента, в соответствии с ч. 3 ст. 6 Федерального закона № 152-ФЗ; цели и состав обрабатываемых данных определяются клиентом.

4.7. Оператор обрабатывает специальные категории персональных данных (сведения о состоянии здоровья, категории годности к военной службе) исключительно в отношении работников и уволенных работников для целей, указанных в записи Реестра операторов (соблюдение законодательства о здравоохранении, об обороне, о социальном страховании). В отношении посетителей сайта, клиентов и контрагентов специальные категории персональных данных и биометрические персональные данные Оператором не обрабатываются.

Оператор обрабатывает персональные данные в целях, заявленных при внесении в Реестр операторов (запись № 26-26-052889):

1. обеспечение соблюдения пенсионного законодательства Российской Федерации;
2. обеспечение соблюдения законодательства о социальном страховании;
3. обеспечение соблюдения законодательства Российской Федерации в сфере здравоохранения;
4. обеспечение соблюдения законодательства Российской Федерации об обороне;
5. продвижение товаров, работ, услуг на рынке (включая взаимодействие с посетителями сайта и клиентами Сервиса);
6. ведение кадрового и бухгалтерского учёта (в том числе договорные расчёты с клиентами и контрагентами);
7. обеспечение соблюдения трудового законодательства Российской Федерации;
8. ведение договорной работы с контрагентами;
9. обеспечение соблюдения налогового законодательства Российской Федерации.

Цели №5 («продвижение товаров, работ, услуг на рынке») и №6 («ведение кадрового и бухгалтерского учёта») являются основанием для обработки персональных данных, собираемых через сайт и Сервис в отношении посетителей сайта, клиентов и контрагентов.

Обработка осуществляется на следующих правовых основаниях:

• согласие субъекта (п. 1 ч. 1 ст. 6 Федерального закона № 152-ФЗ);
• исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ);
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6 Федерального закона № 152-ФЗ);
• устав Оператора, локальные нормативные акты, заключённые гражданско-правовые договоры.

7.1. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без таковых, и включает: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.

7.2. Хранение персональных данных граждан Российской Федерации осуществляется на серверах, расположенных на территории Российской Федерации, в соответствии с требованиями ч. 5 ст. 18 Федерального закона № 152-ФЗ.

7.3. Срок хранения персональных данных определяется целями обработки и составляет:

• для данных, обрабатываемых в рамках Пользовательского соглашения — период действия соглашения и три (3) года после его прекращения;
• для данных бухгалтерского и налогового учёта — пять (5) лет с момента окончания налогового периода в соответствии с НК РФ и Федеральным законом № 402-ФЗ;
• для данных работников — пятьдесят (50) лет в соответствии с приказом Росархива от 20.12.2019 № 236;
• иные сроки, прямо установленные действующим законодательством Российской Федерации.

7.4. По достижении целей обработки или при отзыве согласия субъекта персональные данные подлежат уничтожению или обезличиванию в течение тридцати (30) дней.

8.1. Для сбора статистики посещений, анализа поведения пользователей и улучшения работы Сайта Оператор использует систему веб-аналитики Яндекс.Метрика (номер счётчика 110540637). Сбор данных начинается только после того, как посетитель выразил согласие в баннере о файлах cookie; при отказе счётчик не загружается.

8.2. Посредством Яндекс.Метрики собираются обезличенные данные о посещениях, в частности:

• файлы cookie;
• IP-адрес;
• сведения об устройстве и браузере (User-Agent);
• источник перехода (реферер);
• сведения о поведении посетителя на странице (просмотры, переходы, действия).

8.3. Технологии «Вебвизор» и «Карта скроллинга» применяются исключительно на публичных страницах карточек закупок, где посетитель не вводит персональные данные, и не применяются в личном кабинете, на формах входа и регистрации и в иных разделах Сервиса, доступ к которым требует аутентификации.

8.4. При использовании Яндекс.Метрики ООО «ЯНДЕКС» действует как лицо, осуществляющее обработку персональных данных по поручению Оператора в соответствии с ч. 3 ст. 6 Федерального закона № 152-ФЗ. Обработка осуществляется на Условиях использования сервиса Яндекс.Метрика, размещённых по адресу yandex.ru/legal/metrica_termsofuse.

8.5. Посетитель вправе отказаться от сбора данных системой веб-аналитики: нажав «Отклонить» в баннере о файлах cookie, отключив файлы cookie в настройках браузера либо установив официальное браузерное расширение для отказа от Яндекс.Метрики.

9.1. Оператор направляет на указанный субъектом адрес электронной почты сообщения следующих видов:

• транзакционные — связанные с исполнением договора и совершёнными субъектом действиями: подтверждение регистрации и адреса электронной почты, восстановление пароля, уведомления о выставленных счетах и произведённых платежах, направление документов. Правовое основание — п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ (исполнение договора, стороной которого является субъект);
• сервисные — обеспечивающие работу Сервиса: результаты мониторинга по настроенным субъектом фильтрам закупок, уведомления о событиях в учётной записи, сведения о плановых технических работах, об изменении условий Пользовательского соглашения, тарифов и настоящей Политики. Правовое основание — п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ;
• информационные и рекламные — сведения о новых возможностях Сервиса, тарифах, специальных предложениях, обучающие и аналитические материалы Оператора. Правовое основание — согласие субъекта (п. 1 ч. 1 ст. 6 и ч. 1 ст. 15 Федерального закона № 152-ФЗ, ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).

9.2. Согласие на получение информационных и рекламных сообщений оформляется отдельно от согласия на обработку персональных данных и от акцепта Пользовательского соглашения — отдельным полем формы, которое не является предзаполненным. Регистрация в Сервисе и доступ к его функциональности не поставлены в зависимость от предоставления такого согласия. Факт согласия фиксируется в журнале согласий с указанием даты и времени, IP-адреса, сведений о браузере (User-Agent), адреса страницы, на которой дано согласие, и полного текста редакции согласия, действовавшей на этот момент.

9.3. Сведения, фиксируемые при отправке. По каждому направленному сообщению Оператор фиксирует: факт отправки и доставки (либо отказ почтового сервера получателя в приёме сообщения), факт открытия сообщения, факт перехода по содержащимся в нём ссылкам, факт отказа от получения рассылки и поступление жалобы на сообщение.

9.4. Для фиксации указанных сведений применяются: изображение размером 1×1 пиксель («пиксель отслеживания»), загружаемое почтовой программой получателя при открытии сообщения, и подменные ссылки — переход по ссылке из письма выполняется через сервер Оператора с последующим автоматическим перенаправлением на конечный адрес. Пиксель и подменные ссылки обслуживаются серверами Оператора; сторонние счётчики и трекеры в сообщения не включаются. Если почтовая программа получателя не загружает изображения, факт открытия сообщения не фиксируется.

9.5. Цель обработки сведений, указанных в п. 9.3, — оценка полезности рассылки (какие темы и материалы востребованы получателями), контроль качества доставки и своевременное исключение недействующих адресов. Решения, порождающие юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки этих сведений Оператором не принимаются (ст. 16 Федерального закона № 152-ФЗ).

9.6. Отказ от рассылки. Субъект вправе в любой момент отказаться от получения информационных и рекламных сообщений любым из следующих способов:

• по ссылке «Отписаться», размещаемой в каждом информационном и рекламном сообщении, — в том числе средствами почтовой программы, поддерживающей отказ в один клик (заголовки List-Unsubscribe и List-Unsubscribe-Post, RFC 8058);
• в центре управления подписками, доступном по ссылке из сообщения и в личном кабинете, — там же вместо полного отказа можно выбрать темы и периодичность;
• обращением в службу поддержки Оператора, письмом на адрес privacy@krasoft.ru либо по почтовому адресу, указанному в разделе 2 Политики;
• ответным письмом на адрес отправителя с требованием прекратить рассылку.

9.7. Отказ применяется немедленно: адрес электронной почты вносится в стоп-лист, и направление информационных и рекламных сообщений прекращается без дополнительных условий, подтверждений и объяснения причин.

9.8. Отказ от информационных и рекламных сообщений не затрагивает транзакционные и сервисные сообщения: они направляются на ином правовом основании (исполнение договора) и продолжают направляться, пока действует Пользовательское соглашение. Состав сервисных уведомлений субъект настраивает самостоятельно в личном кабинете.

9.9. Сроки хранения. Записи журнала согласий, включая сведения об отзыве согласия, хранятся три (3) года с даты отзыва — как подтверждение правомерности обработки и исполнения требования субъекта. Сведения об адресе электронной почты, включённом в стоп-лист, хранятся в течение срока, необходимого для исполнения отказа: их удаление привело бы к возобновлению нежелательной рассылки. Иные сведения, указанные в п. 9.3, хранятся в сроки, установленные п. 7.3 Политики.

9.10. Передача третьим лицам. Оператор не использует сторонние сервисы массовых рассылок: отправка выполняется собственными программными средствами Оператора с почтовых серверов, находящихся под его контролем и расположенных на территории Российской Федерации. Персональные данные получателей рассылки третьим лицам не передаются, трансграничная передача таких данных не осуществляется.

9.11. Каждое информационное и рекламное сообщение содержит полное наименование, ИНН, ОГРН и адрес Оператора, адрес электронной почты для связи, ссылку на настоящую Политику, ссылку «Отписаться», ссылку на центр управления подписками и указание на основание, по которому получатель получил сообщение.

10.1. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации, либо при наличии согласия субъекта.

10.2. Оператор вправе поручать обработку персональных данных третьим лицам на основании заключаемого с ними договора в соответствии с ч. 3 ст. 6 Федерального закона № 152-ФЗ. В таком договоре устанавливается обязанность третьего лица соблюдать конфиденциальность и безопасность персональных данных.

10.3. Оператор уведомил уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять трансграничную передачу персональных данных в порядке, установленном ст. 12 Федерального закона № 152-ФЗ (запись в Реестре операторов № 26-26-052889 содержит соответствующее указание).

10.4. Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах, расположенных на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Федерального закона № 152-ФЗ.

Субъект персональных данных вправе:

• получать информацию, касающуюся обработки своих персональных данных, в порядке, установленном ст. 14 Федерального закона № 152-ФЗ;
• требовать уточнения, блокирования или уничтожения персональных данных;
• отозвать ранее данное согласие на обработку персональных данных в любое время;
• обжаловать действия (бездействие) Оператора в Роскомнадзоре или в судебном порядке;
• требовать возмещения убытков и компенсации морального вреда в соответствии с законодательством Российской Федерации.

Запрос направляется по адресу privacy@krasoft.ru и рассматривается в срок не более тридцати (30) дней с даты получения.

12.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, в соответствии со ст. 18.1, 19 Федерального закона № 152-ФЗ, Постановлением Правительства РФ от 01.11.2012 № 1119, приказами ФСТЭК России от 18.02.2013 № 21 и ФСБ России.

12.2. Внутренние нормативные документы Оператора по обработке и защите персональных данных:

• Положение об организации обработки персональных данных;
• Положение об организации обработки персональных данных без использования средств автоматизации;
• Положение об обеспечении безопасности персональных данных, обрабатываемых в информационных системах персональных данных;
• Регламент реагирования на инциденты информационной безопасности в информационных системах персональных данных.

12.3. Организационные меры включают:

• назначение лица, ответственного за организацию обработки персональных данных (см. раздел 2 Политики);
• определение уровней защищённости персональных данных при их обработке в информационных системах в зависимости от угроз безопасности;
• разработку моделей угроз безопасности персональных данных;
• учёт машинных носителей персональных данных;
• установление правил доступа к персональным данным, обрабатываемым в информационных системах, регистрацию и учёт всех действий пользователей с персональными данными;
• ознакомление работников с положениями законодательства о персональных данных, локальными актами Оператора и обучение работе со средствами защиты информации;
• проведение внутреннего контроля соответствия обработки персональных данных требованиям к защите персональных данных, политике Оператора и локальным актам;
• проведение разбирательств по фактам несанкционированного доступа к персональным данным в соответствии с Регламентом реагирования на инциденты информационной безопасности.

12.4. Технические меры включают:

• применение средств криптографической защиты информации при передаче персональных данных по каналам связи (TLS 1.2 и выше; использование шифровальных средств заявлено в записи Реестра операторов № 26-26-052889);
• разграничение прав доступа на основе ролевой модели;
• журналирование действий с персональными данными;
• применение средств защиты от несанкционированного доступа и вредоносного кода;
• резервное копирование данных и регулярный контроль целостности.

13.1. В случае инцидента, повлёкшего неправомерную или случайную передачу персональных данных, повлёкшую нарушение прав субъектов, Оператор уведомляет Роскомнадзор:

• в течение двадцати четырёх (24) часов с момента выявления инцидента — с предварительной информацией;
• в течение семидесяти двух (72) часов с момента выявления — с результатами внутреннего расследования и сведениями о виновных лицах.

Указанный порядок установлен ч. 3.1 ст. 21 Федерального закона № 152-ФЗ. Затронутые субъекты уведомляются о произошедшем в порядке и в сроки, определённые законодательством РФ.

Для реализации своих прав, направления запросов и получения разъяснений по вопросам обработки персональных данных субъект может обратиться:

• по электронной почте: privacy@krasoft.ru;
• по почтовому адресу Оператора, указанному в разделе 2 Политики.

Уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор: rkn.gov.ru.