Политика в отношении обработки персональных данных
Редакция от «__» ________ 20__ г.
1. Общие положения
1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности индивидуальным предпринимателем Петросяном Кареном Игоревичем, ИНН 615009517028, ОГРНИП 320619600028066 (далее — «Оператор», «мы»), при использовании онлайн-сервиса записи Бронировалка, размещённого по адресу https://бронировалка.рф и в мобильных приложениях Оператора (далее — «Сервис»).
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
1.3. Политика подлежит постоянному размещению в свободном доступе в сети «Интернет» по адресу https://бронировалка.рф/privacy в соответствии с ч. 2 ст. 18.1 152-ФЗ.
1.4. Использование Сервиса означает, что пользователь ознакомлен с настоящей Политикой. Согласие на обработку персональных данных предоставляется отдельно — путём проставления соответствующей отметки в интерфейсе Сервиса.
1.5. Сервис предназначен для лиц, достигших 18 лет. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних. Если Оператору станет известно, что данные получены от лица младше 18 лет без согласия законного представителя, такие данные подлежат удалению.
2. Основные понятия
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу.
Клиент — физическое лицо, использующее Сервис для записи к Мастеру.
Мастер — физическое лицо, индивидуальный предприниматель, самозанятый или организация, оказывающая услуги и использующая Сервис для приёма записей.
Запись — сведения о выбранной услуге, дате и времени приёма, Мастере и Клиенте, зафиксированные в Сервисе.
Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.
3. Категории субъектов и обрабатываемых данных
3.1. Клиенты
| Категория данных | Состав |
|---|---|
| Идентификационные | имя (в том виде, в котором его указал сам Клиент; полное имя и фамилия не запрашиваются), номер мобильного телефона |
| Данные аккаунта | идентификатор учётной записи в Сервисе, дата регистрации, статус подтверждения номера |
| Данные о Записях | услуга, дата и время, Мастер, статус записи, история записей, комментарий Клиента к записи (если оставлен) |
| Данные для уведомлений | идентификатор пользователя в мессенджере ВКонтакте и (или) MAX — при подключении соответствующего канала; push-токен устройства — при выдаче разрешения на push-уведомления |
| Платёжные | факт, сумма, дата, статус платежа, маскированный номер карты (первые 6 и последние 4 цифры), идентификатор транзакции |
| Технические | IP-адрес, сведения об устройстве и браузере (User-Agent), данные файлов cookie, сведения о действиях в Сервисе, дата и время обращений |
3.2. Мастера
Дополнительно к перечисленному: фамилия, имя, отчество; ИНН; статус (ИП / самозанятый / физическое лицо); ОГРНИП; адрес места оказания услуг; расчётный счёт и банковские реквизиты для получения выплат; перечень и стоимость услуг; график работы.
3.3. Посетители сайта без регистрации
Технические данные, указанные в последней строке таблицы п. 3.1.
3.4. Данные, которые Оператор не обрабатывает
Оператор не получает и не хранит полные реквизиты банковских карт (номер карты, срок действия, CVV/CVC). Ввод карточных данных осуществляется непосредственно на защищённой странице платёжного сервиса ООО «КЛАУДПЭЙМЕНТС», сертифицированного по стандарту PCI DSS.
Оператор не обрабатывает специальные и биометрические категории персональных данных.
4. Цели обработки
4.1. Регистрация и работа учётной записи — создание и аутентификация аккаунта, подтверждение номера телефона одноразовым кодом, восстановление доступа.
4.2. Оформление и исполнение Записи — передача Мастеру сведений, необходимых для приёма Клиента; отображение расписания; изменение и отмена Записи.
4.3. Направление уведомлений о Записи — напоминание о предстоящем приёме, подтверждение, уведомление об изменении или отмене, уведомление о статусе платежа. Каналы: push-уведомления в приложении (при наличии разрешения на уровне операционной системы), сообщения в мессенджерах ВКонтакте и MAX (при подключении канала Пользователем), SMS.
4.4. Приём платежей — проведение предоплаты или оплаты услуг Мастера, возврат денежных средств, формирование кассовых чеков, расчёт и удержание вознаграждения Оператора.
4.5. Техническая поддержка — обработка обращений, рассмотрение претензий и споров между Клиентом и Мастером.
4.6. Обеспечение работоспособности и безопасности Сервиса — выявление сбоев, защита от несанкционированного доступа, автоматизированных запросов и мошеннических действий, ведение технических журналов.
4.7. Веб-аналитика и улучшение Сервиса — анализ сценариев использования интерфейса в обезличенном или агрегированном виде: какие разделы открываются, на каком шаге прерывается сценарий записи, скорость работы страниц.
4.8. Исполнение обязанностей, предусмотренных законодательством — бухгалтерский и налоговый учёт, ответы на запросы уполномоченных государственных органов.
4.9. Оператор не использует персональные данные для рекламных и маркетинговых рассылок и не передаёт их третьим лицам в рекламных целях.
5. Правовые основания обработки
- согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ) — для направления уведомлений в мессенджеры и push-каналы, для веб-аналитики;
- исполнение договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ) — Пользовательское соглашение и Оферта, размещённые в Сервисе;
- исполнение возложенных на Оператора обязанностей (п. 2 ч. 1 ст. 6 152-ФЗ) — законодательство о бухгалтерском учёте, о применении контрольно-кассовой техники, о противодействии легализации доходов;
- Гражданский кодекс РФ, Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей», Федеральный закон от 22.05.2003 № 54-ФЗ.
6. Разграничение ролей Оператора и Мастера
6.1. В отношении данных Клиента, обрабатываемых для функционирования Сервиса, Оператор действует как самостоятельный оператор персональных данных.
6.2. Мастер получает доступ к имени, номеру телефона и сведениям о Записях своих Клиентов и использует их для оказания услуг. В отношении этих данных Мастер является самостоятельным оператором персональных данных и несёт самостоятельную ответственность за соблюдение 152-ФЗ, включая обязанность уведомить Роскомнадзор о начале обработки.
6.3. Оператор не контролирует дальнейшую обработку данных Клиента, осуществляемую Мастером за пределами Сервиса. Обязанности Мастера закреплены в Оферте для Мастеров.
7. Передача персональных данных третьим лицам
7.1. Оператор передаёт персональные данные следующим категориям получателей исключительно в объёме, необходимом для достижения целей раздела 4:
| Получатель | Передаваемые данные | Цель |
|---|---|---|
| Мастер, к которому оформлена Запись | имя, номер телефона, сведения о Записи | оказание услуги |
| ООО «КЛАУДПЭЙМЕНТС» | сумма, идентификатор заказа, номер телефона и (или) e-mail плательщика | проведение платежа, возврат, фискализация |
| Оператор фискальных данных | состав и сумма расчёта, контакт для направления чека | формирование кассового чека по 54-ФЗ |
| Провайдер SMS-рассылок | номер телефона, текст сервисного сообщения | доставка кода подтверждения и уведомлений |
| ООО «ВК» (мессенджер ВКонтакте, MAX) | идентификатор пользователя в мессенджере, текст сервисного сообщения | доставка уведомлений о Записи |
| Хостинг-провайдер / оператор ЦОД | технические данные, размещаемые базы данных | размещение инфраструктуры Сервиса |
| Сервис веб-аналитики | обезличенные технические данные, cookie-идентификаторы | анализ использования Сервиса |
7.2. Передача осуществляется на основании договоров, содержащих обязанность получателя обеспечивать конфиденциальность и безопасность персональных данных.
7.3. Оператор не осуществляет трансграничную передачу персональных данных.
7.4. Оператор не продаёт персональные данные и не передаёт их третьим лицам для самостоятельного использования в маркетинговых целях.
8. Место обработки и сроки хранения
8.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).
8.2. Сроки хранения:
| Данные | Срок |
|---|---|
| Данные учётной записи | в течение срока действия аккаунта и 30 календарных дней после его удаления |
| Сведения о Записях | 1 год с даты Записи |
| Платёжные сведения и первичные документы | 5 лет (законодательство о бухгалтерском учёте) |
| Технические журналы | 6 месяцев |
| Cookie | согласно разделу 11 |
8.3. По истечении срока хранения либо при достижении целей обработки данные подлежат уничтожению или обезличиванию.
9. Права субъекта персональных данных
9.1. Субъект вправе:
- получить сведения об обработке своих персональных данных в объёме ч. 7 ст. 14 152-ФЗ;
- требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку персональных данных;
- обжаловать действия Оператора в Роскомнадзоре или в судебном порядке.
9.2. Запрос направляется на адрес [EMAIL] либо через форму обратной связи в Сервисе и должен содержать сведения, позволяющие идентифицировать заявителя (номер телефона, указанный при регистрации). Срок ответа — 10 рабочих дней, с возможностью продления не более чем на 5 рабочих дней с уведомлением заявителя.
9.3. Отзыв согласия и удаление аккаунта. Отозвать согласие можно в разделе «Настройки» → «Удалить аккаунт» либо письмом на [EMAIL]. Отзыв согласия на получение уведомлений в мессенджере или push-канале осуществляется отключением соответствующего переключателя в настройках и не влечёт удаления аккаунта.
9.4. Отзыв согласия не прекращает обработку данных, которая осуществляется на иных законных основаниях (исполнение договора, требования законодательства о хранении первичных документов). После отзыва согласия исполнение уже оформленных Записей и направление связанных с ними служебных уведомлений может стать невозможным.
10. Меры по обеспечению безопасности
Оператор применяет правовые, организационные и технические меры, в том числе:
- назначение лица, ответственного за организацию обработки персональных данных;
- утверждение внутренних документов, определяющих порядок обработки и перечень допущенных лиц;
- разграничение прав доступа: Мастер видит данные только своих Клиентов;
- шифрование трафика (HTTPS, TLS) и хранение паролей в виде необратимых хешей;
- регистрацию действий с персональными данными в информационной системе;
- резервное копирование;
- оценку вреда субъектам и определение актуальных угроз безопасности;
- порядок реагирования на инциденты с уведомлением Роскомнадзора в сроки, установленные ч. 3.1 ст. 21 152-ФЗ.
11. Файлы cookie и веб-аналитика
11.1. Сервис использует файлы cookie и аналогичные технологии.
| Тип | Назначение | Возможность отказа |
|---|---|---|
| Строго необходимые | авторизация, сохранение сессии, защита от подбора и автоматизированных запросов | нет — без них Сервис не работает |
| Функциональные | сохранение выбранного города, языка, настроек интерфейса | да |
| Аналитические | анализ посещаемости и сценариев использования | да |
11.2. Рекламные и таргетинговые cookie не используются.
11.3. Управление cookie доступно в баннере при первом посещении и в разделе «Настройки cookie», а также в настройках браузера. Отключение аналитических cookie не влияет на возможность записи к Мастеру.
12. Изменение Политики
12.1. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция размещается по адресу https://бронировалка.рф/privacy с указанием даты вступления в силу.
12.2. О существенных изменениях Оператор уведомляет пользователей в интерфейсе Сервиса не менее чем за 5 календарных дней до вступления изменений в силу.
13. Контактные данные
Оператор: ИП Петросян Карен Игоревич ИНН: 615009517028 ОГРНИП: 320619600028066 Адрес: [АДРЕС] Электронная почта по вопросам обработки персональных данных: [EMAIL] Лицо, ответственное за организацию обработки персональных данных: Петросян Карен Игоревич, [EMAIL]
Сведения об Операторе внесены в реестр операторов, осуществляющих обработку персональных данных: регистрационный номер [НОМЕР УВЕДОМЛЕНИЯ РКН].