Политика обработки персональных данных

1.Оператор и сфера действия политики

Оператор персональных данных: ИП Исхаков И.Ф. (ИНН 027617646833, ОГРНИП 308027617200041).

Адрес места нахождения и адрес для направления обращений: 000000, г. Город, ул. Улица, д. 0, оф. 0.

Адрес электронной почты: hello@consul152.ru. Телефон: +7 000 000-00-00.

Номер Оператора в реестре операторов, осуществляющих обработку персональных данных, публикуется в настоящем разделе после включения в реестр по уведомлению, поданному в порядке ст. 22 Федерального закона № 152-ФЗ.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», является общедоступным документом и размещена на сайте по постоянному адресу.

Действие политики распространяется на обработку персональных данных, совершаемую как с использованием средств автоматизации, так и без их использования. Политика не применяется к сайтам третьих лиц, ссылки на которые могут встречаться на страницах сервиса и в отчётах.

2.Правовые основания обработки

Оператор обрабатывает персональные данные на основаниях, предусмотренных ч. 1 ст. 6 Федерального закона № 152-ФЗ:

• п. 1: согласие субъекта персональных данных, которое даётся при регистрации в сервисе, при отправке формы на сайте и при обращении к Telegram-боту;
• п. 5: исполнение договора, стороной которого является субъект персональных данных, а именно предоставление доступа к сервису на условиях пользовательского соглашения;
• п. 2: исполнение обязанностей, возложенных на Оператора законодательством, в том числе законодательством о бухгалтерском учёте и о налогах;
• п. 7: осуществление законных интересов Оператора, в том числе обеспечение безопасности доступа к учётным записям, при условии что этим не нарушаются права и свободы субъекта.

3.Цели обработки

Персональные данные обрабатываются в следующих целях:

• регистрация и ведение учётной записи, вход в личный кабинет, разграничение прав внутри аккаунта;
• оказание услуг: проверка сайтов, формирование отчётов, хранение истории проверок, выпуск и отзыв публичных ссылок на отчёт;
• направление уведомлений о результатах проверок, падении балла, новых находках и сорванных проверках по выбранным пользователем каналам;
• расчёты за услуги: выставление счетов, оформление документов, ведение бухгалтерского и налогового учёта;
• рассмотрение обращений в службу поддержки и ответы на них;
• обеспечение безопасности доступа: журнал входов, выявление подбора паролей и попыток несанкционированного доступа;
• работа Telegram-бота сервиса: бесплатная проверка присланного домена, выдача оплаченного отчёта, доставка уведомлений в привязанный чат.

4.Категории субъектов и перечень обрабатываемых персональных данных

Оператор обрабатывает данные следующих категорий субъектов: пользователи личного кабинета, в том числе сотрудники, приглашённые владельцем аккаунта; посетители сайта; пользователи Telegram-бота сервиса; представители организаций-заказчиков, указанные в реквизитах плательщика.

Обрабатываются следующие данные:

• фамилия, имя и отчество либо иное имя, которое пользователь указал при регистрации;
• адрес электронной почты;
• номер телефона;
• должность и наименование компании, которую представляет пользователь;
• реквизиты организации-плательщика в том объёме, в каком владелец аккаунта заполнил их сам: наименование, ИНН, КПП, адрес, лицо, подписывающее документы, и почта для счетов;
• IP-адрес, сведения о браузере и операционной системе (user-agent), дата, время и результат попытки входа: журнал входов и перечень активных сессий;
• идентификатор чата Telegram, имя и имя пользователя в Telegram, история обращений к боту и сведения об оплатах, если пользователь обратился к боту сервиса;
• содержание обращений в службу поддержки;
• адреса проверяемых сайтов, результаты проверок и сохранённые фрагменты общедоступных страниц, которые приложены к находкам как доказательства.

5.Что Оператор не обрабатывает

Пароль хранится только в виде необратимого хеша по алгоритму scrypt. Ни в интерфейсе, ни в ответах программного интерфейса пароль не появляется, восстановить его из хеша невозможно. Токен сессии на сервере не хранится: хранится его хеш sha256.

Специальные категории персональных данных (ст. 10 Федерального закона № 152-ФЗ) и биометрические персональные данные (ст. 11 того же закона) Оператор не обрабатывает. Передавать такие сведения через формы сайта, обращения в поддержку и Telegram-бот не следует.

Реквизиты банковских карт Оператору не поступают: оплата проводится на стороне платёжного сервиса.

Персональные данные не используются для принятия решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки.

6.Способы обработки

Обработка ведётся смешанным способом и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

Данные хранятся в информационной системе Оператора и в служебной переписке. Оператор не размещает персональные данные в общедоступных источниках и не распространяет их неограниченному кругу лиц.

7.Сроки хранения

Сроки определяются целью обработки. Дольше, чем этого требует цель, данные не хранятся.

• данные учётной записи и профиля: пока действует договор и существует аккаунт;
• сессии: до истечения срока действия, который составляет 30 дней с момента входа, либо до выхода из аккаунта и завершения сессии пользователем;
• журнал входов: последние 50 записей по каждому пользователю, более ранние удаляются автоматически при новой записи;
• адреса сайтов, отчёты и история проверок: пока существует аккаунт. Владелец аккаунта может удалить сайт вместе с его проверками в любой момент;
• данные Telegram-бота: до отвязки чата от аккаунта и удаления истории обращений;
• документы бухгалтерского и налогового учёта, включая сведения о плательщике: в течение сроков, установленных законодательством, не менее пяти лет.

8.Порядок и условия уничтожения

Оператор прекращает обработку и уничтожает персональные данные при достижении цели обработки, при отзыве согласия, если обработка велась только на его основании, при выявлении неправомерной обработки, а также при прекращении деятельности Оператора.

Срок уничтожения при достижении цели обработки и при отзыве согласия: не более 30 дней с соответствующей даты, если иное не предусмотрено договором или законом (ч. 4 и ч. 5 ст. 21 Федерального закона № 152-ФЗ).

При выявлении неправомерной обработки Оператор прекращает её в срок до трёх рабочих дней, а если обеспечить правомерность обработки невозможно, уничтожает данные в срок до десяти рабочих дней (ч. 3 ст. 21 того же закона).

Уничтожение производится способом, исключающим восстановление: записи удаляются из базы данных и из резервных копий по мере их ротации. Факт уничтожения подтверждается актом и выгрузкой из журнала регистрации событий информационной системы в соответствии с требованиями к подтверждению уничтожения персональных данных, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179.

Заявка на удаление аккаунта подаётся владельцем аккаунта из личного кабинета. Между заявкой и удалением предусмотрена отсрочка 14 дней: она защищает от удаления по ошибке и от удаления посторонним, получившим доступ к учётной записи. В течение отсрочки заявку можно отменить.

9.Передача третьим лицам

Оператор не продаёт персональные данные и не передаёт их для рекламных целей третьих лиц. Данные передаются только в объёме, необходимом для достижения заявленных целей:

• поставщику услуг размещения серверов (хостинга), оборудование которого расположено на территории Российской Федерации;
• оператору связи и поставщику услуг электронной почты, через которых отправляются уведомления и письма сервиса;
• мессенджеру Telegram, если пользователь сам обратился к боту сервиса или привязал чат к аккаунту;
• платёжному сервису, если оплата производится через него: передаются сведения, необходимые для проведения платежа и формирования кассового чека, включая адрес электронной почты покупателя;
• государственным органам: по мотивированному запросу в случаях, порядке и объёме, которые предусмотрены законодательством Российской Федерации.

10.Сообщения по контактам из общедоступных источников

Помимо данных пользователей сервиса Оператор может обрабатывать контактные данные организаций, полученные из общедоступных источников, в том числе из каталогов организаций: наименование организации, адрес сайта, адрес электронной почты, ссылки на страницы в мессенджерах и социальных сетях.

Цель обработки: направление организации сведений о выявленных на её сайте несоответствиях требованиям законодательства и предложения услуг сервиса. Такие сообщения содержат сведения об отправителе и ссылку для отказа от дальнейших сообщений.

Отказ исполняется по адресу и по домену организации и распространяется на все каналы связи, а не только на тот, по которому пришло сообщение. Повторное сообщение по одному и тому же адресу не направляется.

11.Трансграничная передача

Трансграничную передачу персональных данных пользователей личного кабинета Оператор не осуществляет.

Исключение составляет обмен сообщениями с Telegram-ботом сервиса: он проходит через инфраструктуру мессенджера, расположенную за пределами Российской Федерации. Этот канал пользователь выбирает сам, работа с сервисом через сайт его не требует.

Для смыслового разбора документов проверяемых сайтов может использоваться внешняя языковая модель. В неё передаётся текст общедоступных страниц проверяемого сайта; персональные данные пользователей сервиса в неё не передаются.

До начала трансграничной передачи в новое иностранное государство Оператор направляет в Роскомнадзор уведомление в порядке ст. 12 Федерального закона № 152-ФЗ.

12.Локализация баз данных на территории Российской Федерации

В соответствии с ч. 5 ст. 18 Федерального закона № 152-ФЗ запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации производятся с использованием баз данных, находящихся на территории Российской Федерации.

Первичная запись данных, полученных через формы сайта, личный кабинет и Telegram-бот, выполняется в базу данных на сервере, расположенном на территории Российской Федерации. Базы данных за пределами Российской Федерации для первичной записи не используются.

13.Меры по обеспечению безопасности

Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и ст. 19 Федерального закона № 152-ФЗ:

• назначено лицо, ответственное за организацию обработки персональных данных;
• приняты локальные акты по вопросам обработки и защиты персональных данных, работники ознакомлены с ними;
• определены угрозы безопасности при обработке и применяются меры, соответствующие требуемому уровню защищённости;
• доступ к данным разграничен по ролям: разделы с реквизитами плательщика, счетами и ключом интеграций доступны только владельцу аккаунта;
• пароли хранятся в виде необратимого хеша, токены сессий: в виде хеша sha256;
• обмен с сайтом защищён протоколом HTTPS, cookie сессии выдаётся с признаками HttpOnly, Secure и SameSite;
• ведётся журнал входов, действует ограничение частоты попыток входа, пользователь может завершить любые свои сессии, кроме текущей;
• выполняется резервное копирование, проводится внутренний контроль соответствия обработки требованиям закона.

14.Действия при нарушении безопасности

При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов о случившемся и в течение 72 часов о результатах внутреннего расследования (ч. 3.1 ст. 21 Федерального закона № 152-ФЗ).

Пользователи, чьи данные затронуты, уведомляются по адресу электронной почты, указанному в учётной записи, с описанием произошедшего и рекомендациями по защите учётной записи.

15.Права субъекта персональных данных и порядок обращения

Субъект вправе получать сведения, касающиеся обработки его персональных данных, требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не являются необходимыми для заявленной цели обработки, отозвать согласие, а также обжаловать действия Оператора в Роскомнадзор или в суд.

Часть прав реализуется без обращения к Оператору: в разделе «Профиль» можно изменить имя, телефон и должность, посмотреть журнал входов и завершить чужие сессии, а владелец аккаунта может подать заявку на удаление аккаунта.

Запрос направляется на адрес hello@consul152.ru или почтой по адресу 000000, г. Город, ул. Улица, д. 0, оф. 0. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором, например адрес электронной почты учётной записи, а также подпись субъекта или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью.

Оператор отвечает в течение десяти рабочих дней с даты получения запроса. Срок может быть продлён не более чем на пять рабочих дней с уведомлением субъекта о причинах продления (ст. 14 и ст. 20 Федерального закона № 152-ФЗ).

16.Порядок отзыва согласия

Согласие отзывается заявлением в свободной форме на адрес hello@consul152.ru или почтой по адресу 000000, г. Город, ул. Улица, д. 0, оф. 0. В заявлении указываются фамилия, имя, отчество, адрес электронной почты учётной записи и содержание отзыва.

После получения отзыва Оператор прекращает обработку и уничтожает данные в срок не более 30 дней, кроме случаев, когда обработка продолжается на ином законном основании: для исполнения договора, для защиты прав Оператора или для хранения документов учёта в течение установленного законом срока.

Отзыв согласия на обработку данных, необходимых для работы личного кабинета, влечёт прекращение доступа к сервису: без этих данных услуга оказана быть не может.

Отказ от информационных и рекламных сообщений оформляется отдельно и не требует отзыва согласия целиком: достаточно перейти по ссылке отписки в письме или ответить на письмо отправителю.

17.Актуализация политики

Оператор вправе вносить изменения в политику. Действующая редакция всегда размещена на сайте по постоянному адресу, дата редакции указана в начале документа.

Существенные изменения доводятся до пользователей личного кабинета письмом на адрес электронной почты, указанный при регистрации, либо уведомлением в интерфейсе сервиса.

Продолжение использования сервиса после публикации новой редакции означает согласие с ней. Если пользователь не согласен с изменениями, он вправе отозвать согласие и прекратить использование сервиса.

Обращения принимаются по адресу электронной почты hello@consul152.ru, по телефону +7 000 000-00-00 и почтой по адресу 000000, г. Город, ул. Улица, д. 0, оф. 0.