Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности при использовании сайта https://skirbo.ru и сервиса «SKIRBO — CRM для фулфилмента» (далее — Сервис), в том числе размещённого на поддоменах вида {название}.skirbo.ru.

1.2. Политика распространяется на все персональные данные, обрабатываемые Оператором как с использованием средств автоматизации, так и без их использования.

1.3. Основные понятия используются в значениях, определённых ст. 3 ФЗ-152. Термины «Клиент», «Пользователь», «Кабинет», «Данные Клиента» используются в значениях, определённых Пользовательским соглашением (публичной офертой).

1.4. Политика является общедоступным документом и размещается в постоянном открытом доступе во исполнение ч. 2 ст. 18.1 ФЗ-152.

2. Оператор персональных данных

Оператором персональных данных в понимании ФЗ-152 является:

3. Категории субъектов и состав обрабатываемых данных

3.1. Посетители сайта skirbo.ru

• IP-адрес, сведения об устройстве и браузере (User-Agent);
• файлы cookie и идентификаторы сессии;
• обезличенные сведения о поведении на сайте, собираемые системами веб-аналитики (раздел 12);
• источник перехода и метки рекламных кампаний.

3.2. Лица, оставившие заявку на создание кабинета

• адрес электронной почты;
• идентификатор (никнейм) в мессенджере Telegram;
• название компании;
• IP-адрес, дата и время подачи заявки, факт и время принятия правовых документов (для подтверждения согласия).

3.3. Клиенты и их Пользователи (сотрудники, получившие доступ к Кабинету)

• фамилия, имя, отчество;
• адрес электронной почты, номер телефона, идентификатор Telegram;
• должность, роль и объём прав доступа в Кабинете;
• реквизиты Клиента как хозяйствующего субъекта: ИНН, ОГРН/ОГРНИП, юридический адрес, банковские реквизиты;
• журналы действий в Сервисе (кто, когда и какое действие совершил) — для целей безопасности и разбора инцидентов;
• сведения о платежах: суммы, даты, назначение, идентификаторы транзакций.

Полный номер банковской карты, CVC/CVV и срок её действия Оператор не получает и не хранит — эти данные обрабатываются кредитной организацией.

3.4. Данные, размещаемые Клиентом в Кабинете

Сведения о контрагентах Клиента, их представителях, сотрудниках склада, получателях отправлений и иные персональные данные, вносимые Клиентом или поступающие по подключённым им интеграциям, обрабатываются Оператором по поручению Клиента — см. раздел 6.

Оператор не обрабатывает специальные категории персональных данных (ст. 10 ФЗ-152) и биометрические персональные данные (ст. 11 ФЗ-152) и просит Клиентов не размещать их в Кабинете.

4. Цели обработки

Оператор обрабатывает персональные данные исключительно в следующих целях:

• рассмотрение заявки и создание Кабинета;
• заключение и исполнение договора на условиях публичной оферты, предоставление доступа к Сервису;
• идентификация и аутентификация Пользователей, разграничение прав доступа;
• выставление счетов, приём и учёт платежей, формирование закрывающих документов;
• оказание технической и клиентской поддержки, коммуникация по вопросам работы Сервиса;
• направление сервисных уведомлений (о статусе кабинета, оплате, плановых работах, инцидентах, изменении правовых документов);
• обеспечение информационной безопасности, предотвращение и расследование инцидентов, злоупотреблений и попыток несанкционированного доступа;
• улучшение работы Сервиса, устранение ошибок, анализ обезличенной статистики использования;
• направление информационных и рекламных сообщений о Сервисе — только при наличии отдельного согласия, отзываемого в любой момент;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

Обработка в целях, не указанных в настоящем разделе, не производится. Оператор не принимает решений, порождающих юридические последствия, исключительно на основании автоматизированной обработки персональных данных (ст. 16 ФЗ-152).

5. Правовые основания обработки

• согласие субъекта персональных данных — п. 1 ч. 1 ст. 6 ФЗ-152 (проставление отметки при подаче заявки, акцепт оферты);
• исполнение договора, стороной которого либо выгодоприобретателем по которому является субъект — п. 5 ч. 1 ст. 6 ФЗ-152;
• поручение оператора — ч. 3 ст. 6 ФЗ-152 в отношении данных, размещаемых Клиентом в Кабинете (раздел 6);
• исполнение обязанностей, возложенных законодательством — п. 2 ч. 1 ст. 6 ФЗ-152, в том числе Налоговым кодексом РФ, ФЗ от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
• осуществление прав и законных интересов Оператора — п. 7 ч. 1 ст. 6 ФЗ-152, в части обеспечения безопасности Сервиса, при условии ненарушения прав и свобод субъекта.

6. Данные, обрабатываемые по поручению Клиента

6.1. Клиент, размещающий в Кабинете персональные данные третьих лиц, выступает оператором этих данных и самостоятельно отвечает за наличие правовых оснований их обработки, включая получение согласий и информирование субъектов.

6.2. Оператор в отношении таких данных выступает лицом, осуществляющим обработку по поручению оператора (ч. 3 ст. 6 ФЗ-152). Условия поручения определены разделом 10 публичной оферты.

6.3. Оператор не использует данные, обрабатываемые по поручению, в собственных целях, не передаёт их третьим лицам иначе как по указанию Клиента или по требованию закона, и прекращает их обработку по требованию Клиента.

6.4. Запросы субъектов персональных данных, поступившие Оператору в отношении таких данных, перенаправляются соответствующему Клиенту, о чём субъект уведомляется.

7. Порядок обработки и меры защиты

7.1. Обработка осуществляется преимущественно с использованием средств автоматизации.

7.2. Оператор применяет правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения:

• размещение серверов и баз данных, содержащих персональные данные граждан Российской Федерации, на территории Российской Федерации (ч. 5 ст. 18 ФЗ-152);
• изоляция данных каждого Клиента в отдельной базе данных и на отдельном поддомене;
• шифрование каналов передачи данных по протоколу TLS;
• шифрование ключей доступа к внешним системам (маркетплейсам) на уровне хранения;
• разграничение прав доступа по ролевой модели и принципу минимальных привилегий;
• журналирование действий пользователей и администраторов;
• регулярное резервное копирование и проверка восстановимости копий;
• парольная политика и многофакторная аутентификация для служебных учётных записей;
• своевременная установка обновлений безопасности;
• назначение лица, ответственного за организацию обработки персональных данных;
• ознакомление лиц, допущенных к обработке, с требованиями законодательства и внутренними документами Оператора.

7.3. Состав применяемых мер определяется в соответствии с требованиями Постановления Правительства РФ от 01.11.2012 № 1119 исходя из установленного уровня защищённости.

7.4. Оператор осуществляет внутренний контроль соответствия обработки требованиям ФЗ-152 и принятых в соответствии с ним нормативных правовых актов.

8. Передача персональных данных третьим лицам

8.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, за исключением следующих случаев:

• кредитные организации и платёжные сервисы — в объёме, необходимом для проведения расчётов;
• операторы связи и сервисы доставки сообщений (электронная почта, Telegram) — в объёме, необходимом для доставки уведомлений;
• поставщики инфраструктуры (хостинг, размещение серверов на территории Российской Федерации) — в объёме, необходимом для функционирования Сервиса, на условиях соблюдения конфиденциальности;
• государственные органы — в случаях, объёме и порядке, установленных законодательством Российской Федерации;
• по указанию Клиента — в отношении данных, обрабатываемых по поручению (раздел 6).

8.2. Обезличенные данные могут использоваться Оператором для аналитических и статистических целей.

8.3. Трансграничная передача персональных данных Оператором не осуществляется.

9. Сроки хранения

По истечении срока хранения либо при достижении целей обработки персональные данные подлежат уничтожению или обезличиванию.

10. Права субъекта персональных данных

В соответствии со ст. 14 ФЗ-152 субъект персональных данных вправе:

• получать информацию, касающуюся обработки его персональных данных: подтверждение факта обработки, правовые основания и цели, применяемые способы, состав данных и источник их получения, сроки обработки и хранения, сведения о лицах, имеющих доступ;
• требовать уточнения персональных данных в случае их неполноты, неточности или неактуальности;
• требовать блокирования или уничтожения персональных данных, если они являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных (раздел 11);
• возражать против обработки в целях продвижения товаров и услуг;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

Обращение направляется на адрес oferta@skirbo.ru или почтой по адресу Оператора и должно содержать сведения, позволяющие идентифицировать субъекта (ч. 3 ст. 14 ФЗ-152). Ответ предоставляется в срок, не превышающий 10 (десяти) рабочих дней с даты получения обращения; срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением заявителя.

11. Отзыв согласия на обработку персональных данных

11.1. Согласие может быть отозвано в любой момент путём направления уведомления:

• на адрес электронной почты oferta@skirbo.ru;
• заказным письмом с уведомлением о вручении по адресу Оператора, указанному в разделе 2.

11.2. Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) календарных дней с даты поступления отзыва, за исключением случаев, когда:

• обработка необходима для исполнения договора, стороной которого является субъект, — до полного исполнения обязательств;
• сохранение данных требуется законодательством Российской Федерации (налоговым, о бухгалтерском учёте);
• обработка необходима для защиты прав и законных интересов Оператора в связи с заявленными требованиями.

11.3. Отзыв согласия, данного в связи с использованием Сервиса, влечёт прекращение доступа к Кабинету, если продолжение обработки невозможно.

11.4. Отзыв согласия на получение рекламных сообщений не влияет на доступ к Сервису и не прекращает направление сервисных уведомлений, необходимых для исполнения договора.

12. Cookie и системы веб-аналитики

12.1. Сайт и Сервис используют файлы cookie. Технически необходимые cookie (авторизация, сохранение сессии, выбор согласия) устанавливаются без отдельного согласия, поскольку без них работа Сервиса невозможна.

12.2. Аналитические cookie и системы веб-аналитики — Яндекс.Метрика (включая функцию записи действий на странице) — подключаются только после того, как посетитель нажал «Принять» в баннере согласия. До получения согласия счётчики не загружаются.

12.3. Изменить или отозвать выбор можно в любой момент на странице Политики использования файлов cookie, а также очистив cookie и данные сайта в настройках браузера.

12.4. Подробный перечень файлов cookie, их назначение и сроки хранения приведены в Политике использования файлов cookie.

13. Действия при инциденте

13.1. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в порядке и сроки, установленные ч. 3.1 ст. 21 ФЗ-152.

13.2. Клиенты, чьи данные затронуты инцидентом, уведомляются без неоправданной задержки, но не позднее 24 (двадцати четырёх) часов с момента обнаружения инцидента, с описанием характера инцидента и принятых мер.

13.3. Оператор проводит внутреннее расследование каждого инцидента и принимает меры для устранения его причин.

14. Изменение Политики

14.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда доступна по адресу https://skirbo.ru/privacy.html с указанием даты вступления в силу.

14.2. О существенных изменениях Клиенты уведомляются по адресу электронной почты и (или) уведомлением в Кабинете не менее чем за 14 (четырнадцать) календарных дней до вступления новой редакции в силу.

14.3. Предыдущие редакции предоставляются по запросу на адрес oferta@skirbo.ru.

15. Контакты для обращений

Субъект персональных данных также вправе обратиться в уполномоченный орган по защите прав субъектов персональных данных — Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), rkn.gov.ru.