1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет цели, правовые основания, порядок и условия обработки персональных данных (далее — «Персональные данные») и меры по обеспечению их безопасности при использовании сайта pm-ai.ru (далее — «Сайт») и информационной системы «Проектный интеллект» (далее — «Информационная система»). Политика разработана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и опубликована на Сайте для неограниченного доступа.
1.2. Оператором Персональных данных является самозанятый Киреев Константин Александрович (зарегистрирован в качестве налогоплательщика налога на профессиональный доход в соответствии с Федеральным законом от 27.11.2018 № 422-ФЗ «О внесении изменений в части вторую и третью Налогового кодекса Российской Федерации»), ИНН 502716391779, адрес: 143001, Московская обл., г. Одинцово, а/я 15 (далее — «Оператор»). Контактный телефон Оператора: +7 985 298 4709. Контактный адрес электронной почты Оператора: contact@pm-ai.ru. Ответственный за организацию обработки Персональных данных — Киреев Константин Александрович, e-mail: contact@pm-ai.ru.
1.2.1. Пользователь, акцептовав Пользовательское соглашение, заранее дает согласие на переход прав и обязанностей Оператора по Договору к Обществу с ограниченной ответственностью «Проектный Интеллект» после государственной регистрации Общества, при условии предварительного уведомления Оператором Пользователя о переходе (по электронной почте на адрес, указанный в Учетной записи, и в интерфейсе Информационной системы), и при условии, что переход не ухудшает положение Пользователя. До перехода прав и обязанностей Оператором является самозанятый, указанный в пункте 1.2 настоящей Политики.
1.3. Субъектами Персональных данных, обрабатываемых Оператором в соответствии с Политикой, являются: посетители Сайта; лица, направившие обращение через форму на Сайте или по электронной почте; Пользователи Информационной системы, их представители и Уполномоченные пользователи (далее вместе — «Пользователь»).
1.4. Политика не распространяется на Персональные данные, которые Пользователь вносит в Информационную систему в качестве оператора (данные его работников, клиентов, контрагентов). Такие данные обрабатываются Оператором по поручению Пользователя в соответствии с разделом 3 Политики и Приложением № 1 к Пользовательскому соглашению.
2. Категории обрабатываемых персональных данных
2.1. Данные, собираемые автоматически при посещении Сайта (при наличии согласия на использование файлов cookie и веб-аналитики): IP-адрес; сведения о типе и версии операционной системы и браузера, разрешении экрана, языке; регион (город), определяемый по IP-адресу; источник перехода на Сайт; идентификаторы файлов cookie; сведения о действиях на Сайте (просмотры страниц, клики, время пребывания, факт отправки формы). Строго необходимые файлы cookie (обеспечение работы Сайта и авторизации) используются без согласия.
2.2. Данные, передаваемые через форму обратной связи на Сайте или направленные на адрес contact@pm-ai.ru: фамилия, имя, отчество; адрес электронной почты; номер телефона; наименование организации и должность; текст обращения.
2.3. Данные Пользователя Информационной системы: фамилия, имя; адрес электронной почты; номер телефона (для авторизации); наименование организации и должность; данные для входа; сведения об оплате (без реквизитов банковских карт, которые обрабатываются платежным агентом); технические журналы действий в Информационной системе (дата и время, IP-адрес, совершенные действия).
2.4. Оператор не обрабатывает специальные категории Персональных данных и биометрические Персональные данные.
3. Персональные данные, вносимые Пользователем в Информационную систему по поручению
3.1. Если информация, вносимая Пользователем в Информационную систему, содержит Персональные данные иных физических лиц (работников, клиентов, контрагентов Пользователя), оператором таких данных является Пользователь, а Оператор осуществляет их обработку по поручению Пользователя (ч. 3 ст. 6 Закона). Поручение дается при акцепте Пользовательского соглашения; его условия (цели, перечень действий, обязанности по конфиденциальности и защите) установлены Приложением № 1 к Пользовательскому соглашению.
3.2. Пользователь обеспечивает наличие законного основания для обработки таких данных и для поручения их обработки Оператору, а также уведомление субъектов в случаях, предусмотренных Законом. Ответственность перед субъектами Персональных данных за действия Оператора по поручению несет Пользователь (ч. 5 ст. 6 Закона); Оператор отвечает перед Пользователем.
3.3. Оператор обрабатывает такие данные исключительно в целях и в объеме, указанных Пользователем, не использует их в собственных целях (в том числе для обучения моделей искусственного интеллекта) и соблюдает требования статьи 19 Закона.
3.4. При выявлении Персональных данных, обработка которых осуществляется в отсутствие законных оснований, либо Персональных данных специальных категорий Оператор вправе прекратить их обработку, заблокировать и удалить их с уведомлением Пользователя.
4. Цели, правовые основания и сроки обработки
4.1. Оператор обрабатывает Персональные данные в следующих целях:
| Цель | Категории данных | Правовое основание | Срок обработки и хранения |
|---|---|---|---|
| Обеспечение работы Сайта (строго необходимые cookie) | п. 2.1 (технические данные, идентификатор сессии) | Законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона) | Сеанс работы, не более 30 дней |
| Веб-аналитика посещаемости Сайта, улучшение Сайта | п. 2.1 | Согласие (п. 1 ч. 1 ст. 6 Закона) | До отзыва согласия, не более 12 месяцев с момента последнего посещения |
| Обработка обращений, организация демонстрации или пилотного проекта | п. 2.2 | Согласие (п. 1 ч. 1 ст. 6 Закона) | До достижения цели (рассмотрения обращения), не более 1 года с даты последнего обращения |
| Регистрация, предоставление доступа к Информационной системе, исполнение Договора, техническая поддержка и направление сервисных уведомлений | п. 2.3 | Исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 Закона); для представителей и Уполномоченных пользователей Пользователя — согласие (п. 1 ч. 1 ст. 6 Закона) | Срок действия Договора и 30 дней после его прекращения |
| Обеспечение безопасности Информационной системы, ведение журналов | п. 2.3 (технические журналы) | Законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона) | 1 год |
| Бухгалтерский и налоговый учет, выполнение требований закона | п. 2.3 (сведения об оплате, реквизиты) | Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 Закона) | Сроки, установленные законодательством (в том числе 5 лет — ст. 29 Федерального закона № 402-ФЗ) |
| Защита прав Оператора, доказательство получения согласий и акцепта | Журналы согласий и акцепта | Законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона) | Срок исковой давности (3 года) после прекращения обработки по соответствующей цели |
4.2. Оператор не осуществляет рекламные и маркетинговые рассылки. Направление таких сообщений возможно только при наличии отдельного согласия (ч. 1 ст. 18 Федерального закона «О рекламе»).
4.3. Оператор не принимает решений, порождающих юридические последствия для субъекта, на основании исключительно автоматизированной обработки Персональных данных.
5. Принципы и условия обработки
5.1. Обработка осуществляется на законной и справедливой основе, ограничивается достижением конкретных заранее определенных целей; не допускается обработка, несовместимая с целями сбора, объединение баз данных, обработка которых осуществляется в несовместимых целях; обрабатываемые данные не являются избыточными по отношению к целям (ст. 5 Закона).
5.2. Согласие на обработку Персональных данных, когда оно требуется, оформляется отдельно от иных документов (ч. 1 ст. 9 Закона): Согласие на использование файлов cookie и веб-аналитику (баннер Сайта), Согласие на обработку персональных данных при обращении через форму Сайта и Согласие на обработку персональных данных при регистрации в Информационной системе. Согласие дается путем проставления отметки, не проставленной заранее, либо нажатием кнопки «Принять» на баннере; до получения согласия сервисы веб-аналитики не активируются.
5.3. Способ обработки — смешанная обработка (с использованием средств автоматизации и без использования таких средств), с передачей по сети Интернет.
6. Перечень действий с персональными данными
6.1. Оператор осуществляет следующие действия с Персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) лицам, указанным в разделе 8, блокирование, удаление и уничтожение.
7. Хранение, локализация и уничтожение
7.1. При сборе Персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).
7.2. Сроки обработки и хранения установлены в разделе 4. По достижении целей обработки, истечении срока хранения или при отзыве согласия (если иное основание обработки отсутствует) Персональные данные уничтожаются в течение 30 дней (ч. 4, 5 ст. 21 Закона). Уничтожение подтверждается актом и (или) выгрузкой из журнала в соответствии с требованиями, утвержденными Роскомнадзором.
7.3. Трансграничная передача Персональных данных не осуществляется. При возникновении необходимости такой передачи Оператор предварительно уведомит Роскомнадзор (ст. 12 Закона) и внесет изменения в Политику.
8. Передача персональных данных третьим лицам
8.1. Оператор вправе поручать обработку Персональных данных следующим категориям лиц на основании договора, содержащего условия, предусмотренные частью 3 статьи 6 Закона:
| Категория лиц | Цель передачи |
|---|---|
| Хостинг-провайдеры | Хостинг, хранение и обработка данных, необходимых для работы Сайта и Информационной системы |
| Провайдеры вычислительных мощностей для ИИ-функционала | Обработка запросов Пользователей с использованием технологий искусственного интеллекта |
| Сервисы веб-аналитики (в том числе Яндекс Метрика) | Аналитика посещаемости Сайта — только при наличии согласия субъекта |
| Платежные агенты и банки | Приём платежей за тарифы; сведения о банковских картах обрабатываются платежным агентом и не раскрываются Оператору |
8.2. Лица, обрабатывающие Персональные данные по поручению Оператора, обязаны соблюдать конфиденциальность и принимать меры по обеспечению безопасности в соответствии со статьей 19 Закона и не вправе использовать Персональные данные в собственных целях. Наименования и адреса таких лиц предоставляются субъекту Персональных данных по его запросу в порядке, установленном частью 7 статьи 14 Закона.
8.3. Персональные данные предоставляются государственным органам в случаях и в порядке, предусмотренных законодательством Российской Федерации.
9. Права субъекта персональных данных и порядок их реализации
9.1. Субъект Персональных данных вправе: получать сведения, указанные в части 7 статьи 14 Закона (подтверждение факта обработки, правовые основания и цели, способы обработки, наименование и адрес Оператора и лиц, обрабатывающих данные по поручению, перечень данных, сроки обработки, порядок реализации прав); требовать уточнения, блокирования или уничтожения Персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели; отозвать согласие; требовать прекращения обработки; обжаловать действия (бездействие) Оператора в Роскомнадзор или в суд, в том числе требовать возмещения убытков и компенсации морального вреда.
9.2. Запрос направляется на адрес contact@pm-ai.ru (в форме электронного документа, подписанного электронной подписью) или по почтовому адресу Оператора и должен содержать сведения, указанные в части 3 статьи 14 Закона (сведения о документе, удостоверяющем личность, сведения, подтверждающие участие субъекта в отношениях с Оператором, подпись). Оператор предоставляет ответ в течение 10 рабочих дней с даты получения запроса; срок может быть продлен не более чем на 5 рабочих дней с направлением мотивированного уведомления.
9.3. Отзыв согласия направляется на адрес contact@pm-ai.ru или по почтовому адресу Оператора, а в отношении cookie и веб-аналитики — также путем изменения настроек на баннере Сайта. Отзыв согласия не влияет на законность обработки, осуществлявшейся до отзыва. Оператор прекращает обработку и уничтожает Персональные данные в течение 30 дней с даты поступления отзыва, если отсутствуют иные основания обработки (ч. 2 ст. 9, ч. 5 ст. 21 Закона).
9.4. Если обработка Персональных данных необходима для исполнения Договора с Пользователем, отзыв согласия представителем или Уполномоченным пользователем Пользователя влечет невозможность предоставления ему доступа к Информационной системе.
10. Меры по обеспечению безопасности персональных данных
10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона, в том числе: назначение ответственного за организацию обработки Персональных данных; издание локальных актов по вопросам обработки и защиты Персональных данных; оценку вреда, который может быть причинен субъектам; определение угроз безопасности и уровня защищенности в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119; применение мер, предусмотренных составом и содержанием организационных и технических мер, утвержденным ФСТЭК России; разграничение и контроль доступа, многофакторную аутентификацию администраторов; шифрование данных при передаче (TLS) и хранении; логическую изоляцию данных разных Пользователей; резервное копирование на территории Российской Федерации; журналирование и мониторинг событий безопасности; ознакомление работников с требованиями законодательства и локальных актов; внутренний контроль и аудит.
10.2. В случае выявления неправомерной или случайной передачи (предоставления, распространения, доступа) Персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона), а в отношении данных, обрабатываемых по поручению, — также незамедлительно уведомляет соответствующего Пользователя. Оператор взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА) в установленном порядке.
11. Заключительные положения
11.1. Политика вступает в силу с даты утверждения и действует до утверждения новой редакции. Политика пересматривается не реже одного раза в год и при изменении законодательства или условий обработки.
11.2. Новая редакция Политики размещается на Сайте с указанием даты. Если изменения затрагивают цели обработки, состав Персональных данных или круг лиц, которым они передаются, и обработка осуществляется на основании согласия, Оператор запрашивает новое согласие субъекта; до его получения обработка осуществляется на прежних условиях. Зарегистрированные Пользователи уведомляются об изменениях по электронной почте и в интерфейсе Информационной системы.
11.3. По вопросам, не урегулированным Политикой, применяется законодательство Российской Федерации о персональных данных.