Политика обработки персональных данных

1. Общие положения и термины

1.1. Используемые в Политике термины соответствуют статье 3 Федерального закона «О персональных данных»:

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

Оператор — Индивидуальный предприниматель Чернышова Марина Сергеевна, организующий и осуществляющий обработку персональных данных в рамках Сервиса.

Субъект персональных данных — физическое лицо, чьи персональные данные обрабатываются Оператором: пользователь Сервиса, а также представители контрагентов Оператора.

Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.

Cookies — небольшие текстовые файлы, размещаемые Сервисом на устройстве пользователя для целей идентификации, аутентификации, ведения статистики и обеспечения функциональности Сервиса.

1.2. Политика распространяется на отношения по обработке персональных данных, осуществляемой Оператором с использованием средств автоматизации, а также без использования таких средств.

1.3. Оператор размещает Политику в свободном доступе на Сайте в соответствии с частью 2 статьи 18.1 Федерального закона «О персональных данных».

2. Правовые основания обработки персональных данных

2.1. Оператор осуществляет обработку персональных данных на следующих правовых основаниях:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 06.04.2011 № 63-ФЗ «Об электронной подписи»;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
• Публичная оферта о заключении лицензионного договора на использование сервиса Qupito;
• Согласие субъекта персональных данных.

2.2. Конкретное правовое основание для каждой цели обработки указано в разделе 4 настоящей Политики.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных осуществляется Оператором на основе следующих принципов (статья 5 Федерального закона «О персональных данных»):

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей;
• не допускается обработка персональных данных, несовместимая с целями сбора;
• обработке подлежат только персональные данные, отвечающие целям их обработки;
• содержание и объём обрабатываемых данных соответствуют заявленным целям. Избыточность не допускается;
• при обработке обеспечиваются точность, достаточность и актуальность персональных данных;
• хранение осуществляется не дольше, чем этого требуют цели обработки.

4. Цели обработки и категории персональных данных

4.1. Оператор обрабатывает персональные данные в следующих целях:

4.1.1. Заключение и исполнение лицензионного договора

Правовое основание: статьи 6 (пункт 5 части 1), 18.1 Федерального закона «О персональных данных»; заключение и исполнение договора, стороной которого является субъект.

Категории обрабатываемых данных: фамилия, имя, отчество; должность, место работы; адрес электронной почты; номер телефона; логин, пароль (в хешированном виде); сведения, добровольно указываемые в Личном кабинете.

Срок обработки: на период действия договора и в течение 3 (трёх) лет с момента его прекращения.

4.1.2. Расчёты, бухгалтерский и налоговый учёт

Правовое основание: Налоговый кодекс Российской Федерации, Федеральный закон «О бухгалтерском учёте».

Категории данных: ФИО плательщика, реквизиты для выставления счёта (для ИП — ИНН, ОГРНИП, адрес), сведения о платежах. Реквизиты банковских карт Оператором не обрабатываются и не хранятся.

Срок обработки: в течение сроков, установленных налоговым законодательством (не менее 5 лет).

4.1.3. Техническая поддержка и связь с пользователями

Правовое основание: согласие субъекта персональных данных, договор с субъектом.

Категории данных: адрес электронной почты, номер телефона, история обращений в техническую поддержку.

Срок обработки: на период действия договора и в течение 1 (одного) года с момента его прекращения.

4.1.4. Технические и аналитические цели, информационная безопасность

Правовое основание: статья 6 (пункт 7 части 1) Федерального закона «О персональных данных».

Категории данных: IP-адрес, тип и версия браузера (user-agent), тип устройства и операционной системы, идентификаторы cookies, дата и время посещения, URL запрашиваемых страниц, источник перехода.

Срок обработки: 1 (один) год с момента сбора.

4.1.5. Направление информационных и рекламных сообщений

Правовое основание: согласие субъекта персональных данных, статья 18 Федерального закона «О рекламе».

Категории данных: ФИО, адрес электронной почты, номер телефона, сведения об использовании Сервиса.

Обработка осуществляется только при наличии отдельного согласия, выраженного при регистрации или в настройках Личного кабинета. Субъект вправе в любое время отозвать это согласие.

Срок обработки: до отзыва согласия.

4.2. Оператор не обрабатывает специальные категории персональных данных (расовая и национальная принадлежность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные.

4.3. Оператор не осуществляет обработку персональных данных несовершеннолетних. Сервис предназначен для использования лицами, достигшими 18 лет.

5. Данные третьих лиц, загружаемые пользователем в Сервис

5.1. Пользователь Сервиса при использовании его функционала может загружать в Сервис персональные данные третьих лиц — работников пользователя, представителей контрагентов (поставщиков), иных лиц.

5.2. В отношении таких данных пользователь Сервиса выступает оператором персональных данных, а Оператор — лицом, осуществляющим обработку по поручению пользователя на основании части 3 статьи 6 Федерального закона «О персональных данных».

5.3. Пользователь самостоятельно обеспечивает наличие правовых оснований (в том числе согласий) для обработки персональных данных третьих лиц и несёт ответственность за их законность.

5.4. Оператор обрабатывает данные третьих лиц исключительно в объёме и в целях, необходимых для функционирования Сервиса: хранение, отображение пользователю и его сотрудникам, формирование и передача заявок поставщикам, ведение истории закупок.

6. Использование Cookies и иных технологий отслеживания

6.1. При посещении Сайта на устройство пользователя могут сохраняться файлы cookies следующих типов:

• технически необходимые — обеспечение работы аутентификации, сохранение пользовательских настроек, защита от автоматизированных атак. Обрабатываются без согласия пользователя, поскольку необходимы для функционирования Сервиса;
• аналитические — для сбора обезличенной статистики посещений (количество визитов, источники переходов, поведение на Сайте);
• функциональные — для запоминания выбора пользователя (язык интерфейса, настройки оформления и т. п.).

6.2. Пользователь вправе отключить обработку cookies в настройках своего браузера. Отключение технически необходимых cookies может привести к недоступности отдельных функций Сервиса.

6.3. Использование аналитических и функциональных cookies осуществляется на основании согласия пользователя, выражаемого путём продолжения использования Сайта после ознакомления с информационным баннером.

7. Передача персональных данных третьим лицам

7.1. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации, и случаев, когда передача необходима для исполнения обязательств перед субъектом персональных данных.

7.2. Оператор вправе привлекать к обработке персональных данных следующих лиц, действующих по поручению Оператора:

• платёжные провайдеры — для проведения расчётов с пользователями;
• операторы связи и сервисы рассылок — для направления транзакционных и информационных сообщений;
• поставщики облачной инфраструктуры (хостинг-провайдеры), расположенные на территории Российской Федерации;
• организации, оказывающие Оператору бухгалтерские, юридические и иные сопутствующие услуги.

7.3. С каждым из указанных лиц Оператором заключены договоры, содержащие положения о соблюдении конфиденциальности и применении мер по защите персональных данных.

7.4. Передача персональных данных третьим лицам может осуществляться также по запросу уполномоченных государственных органов.

8. Трансграничная передача персональных данных

8.1. Оператор не осуществляет трансграничную передачу персональных данных. Все средства обработки и хранения персональных данных расположены на территории Российской Федерации.

8.2. В случае возникновения необходимости трансграничной передачи Оператор обязуется уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в порядке, установленном статьёй 12 Федерального закона «О персональных данных».

9. Условия и место хранения персональных данных

9.1. В соответствии с частью 5 статьи 18 Федерального закона «О персональных данных» Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

9.2. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором.

9.3. По достижении целей обработки персональные данные подлежат уничтожению либо обезличиванию, если иное не предусмотрено законом.

10. Меры по обеспечению безопасности персональных данных

10.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения.

10.2. К таким мерам относятся:

• назначение ответственного за организацию обработки персональных данных;
• ограничение круга лиц, имеющих доступ к персональным данным;
• применение шифрования при передаче данных по сети Интернет (HTTPS/TLS);
• хранение паролей в хешированном виде;
• резервное копирование данных;
• ведение журналов учёта действий с персональными данными;
• регулярная оценка эффективности принимаемых мер.

10.3. Безопасность обеспечивается с учётом требований Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

11. Права субъекта персональных данных

11.1. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных (статья 14 Федерального закона «О персональных данных»);
• требовать уточнения, блокирования или уничтожения данных в случае, если они являются неполными, устаревшими, неточными или незаконно полученными;
• отозвать согласие на обработку персональных данных в случаях, когда обработка осуществляется на основании согласия;
• требовать прекращения обработки персональных данных, если она осуществляется с нарушением законодательства;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

11.2. Запросы и обращения субъектов направляются Оператору на адрес электронной почты help@qupito.ru или почтой по адресу, указанному в разделе 13.

11.3. Запрос должен содержать сведения, позволяющие идентифицировать субъекта (ФИО, контактные данные, логин учётной записи).

11.4. Срок рассмотрения запроса — не более 10 (десяти) рабочих дней с момента получения.

12. Изменение политики

12.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция размещается на Сайте по адресу qupito.ru/privacy и вступает в силу с момента её размещения.

12.2. О существенных изменениях Оператор уведомляет пользователей путём публикации на Сайте и (или) направления уведомления на адрес электронной почты не менее чем за 10 (десять) календарных дней до вступления изменений в силу.

13. Реквизиты оператора