1. Оператор и область действия
Оператор персональных данных — общество с ограниченной ответственностью «АЙТИ КОРПУС», ИНН 2636220206, адрес: 355029, Ставропольский край, г. Ставрополь, ул. Ленина, д. 417 (далее — Общество). По этому адресу можно направить письменное обращение о персональных данных.
Политика касается персональных данных посетителей сайта, пользователей личного кабинета, покупателей — физических лиц и индивидуальных предпринимателей, представителей организаций и авторов обращений. Сведения только о юридическом лице не являются персональными данными физического лица; сведения о его представителе или об индивидуальном предпринимателе могут ими являться.
Политика устанавливает правила обработки в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Чтение политики, посещение страницы или принятие договора сами по себе не означают согласия на любые операции с персональными данными. Для каждой цели необходимо самостоятельное законное основание.
2. Использование сайта и настройки браузера
Обработка для конкретной цели осуществляется при обращении пользователя или выполнении соответствующего действия: регистрации, оформлении заказа, оплате, обмене документами либо запросе поддержки. Перечень данных в политике не означает их сбор у каждого посетителя. Просмотр страницы сам по себе не создает учетную запись, не оформляет заказ, не инициирует платеж и не направляет обращение.
Значения, введенные в поля, могут находиться в документе и памяти браузера. Сам ввод не равнозначен отправке данных или совершению юридически значимого действия. Автозаполнение, сохранение паролей и восстановление вкладок регулируются настройками браузера.
Сайт сохраняет выбранные настройки оформления и анимации в localStorage и использует cookie состояния боковой панели. Сторонняя веб-аналитика, рекламные счетчики и рекламное профилирование не используются; шрифт размещен локально.
| Назначение | Сведения и место хранения | Срок и управление |
|---|---|---|
| Сохранить выбранную тему | localStorage: sloyra-theme, значение light или dark; в браузере для этого сайта. | До изменения настройки или удаления данных сайта пользователем. Автоматический срок истечения не установлен. |
| Сохранить настройку анимации | localStorage: sloyra-motion, значение on или off; в браузере для этого сайта. | До изменения настройки или удаления данных сайта пользователем. Автоматический срок истечения не установлен. |
| Запомнить состояние боковой панели | Cookie sidebar_state, значение true или false; устанавливается при переключении боковой панели на настольном экране. | 7 дней с установки; повторное переключение обновляет значение и срок. Cookie можно удалить в настройках браузера. |
3. Настройки браузера и технические сведения
Перечисленные настройки нужны для сохранения выбора пользователя. Они не содержат имени, email или рекламного идентификатора и не предназначены для отслеживания между сайтами. Само по себе значение настройки не идентифицирует человека. Если оно будет связано с идентифицируемым пользователем, к такой обработке применяются правила о персональных данных.
localStorage не прикладывается браузером к HTTP-запросам автоматически. Cookie может передаваться браузером при запросах к соответствующему сайту. Браузер также выполняет сетевые запросы для получения страниц и ресурсов сайта.
Можно изменить тему и анимацию средствами сайта, удалить данные сайта или ограничить хранение в браузере. После удаления настройки могут сброситься. Использование данных для иной цели требует самостоятельного основания и предоставления пользователю соответствующей информации; когда закон требует согласия, оно оформляется отдельно.
4. Общие правила обработки
Общество должно обрабатывать данные законно и справедливо, для заранее определенных целей, в необходимом для каждой цели объеме. Несовместимые цели нельзя объединять, а данные — сохранять в идентифицируемом виде дольше необходимого без самостоятельного основания. Неточные сведения подлежат уточнению, а избыточные и неправомерно обрабатываемые — удалению или уничтожению в установленном порядке.
Предоставление права использования программы, оформление заказа, расчетов и предусмотренных законом документов может требовать обработки без отдельного согласия, когда она необходима для договора с субъектом или выполнения обязанности по закону. Это не дает права использовать сведения для рекламы или иных несвязанных целей.
Специальные категории персональных данных, биометрические персональные данные для установления личности и сведения о частной жизни не входят в состав данных, необходимых для перечисленных в политике целей. В обращениях не следует сообщать такие сведения и данные других лиц, не необходимые для решения вопроса. Публикация персональных данных для неопределенного круга лиц в описанные цели не входит.
5. Цели, данные, основания и сроки
Состав данных определяется используемой функцией, категорией покупателя и содержанием обращения. Общество вправе обрабатывать только те сведения из таблицы, которые необходимы для фактически выполняемого действия и для которых имеется указанное законное основание.
В сроки хранения включается весь период, когда сведения позволяют определить человека. Для документов с обязательным сроком хранения применяется закон и установленная по нему номенклатура документов. Рабочие копии и избыточные сведения нельзя сохранять только потому, что отдельный документ подлежит обязательному хранению.
| Цель | Категории субъектов и данные | Правовое основание | Срок хранения |
|---|---|---|---|
| Создание учетной записи и предоставление доступа | Пользователь: email, внутренний идентификатор, сведения о подтверждении email, выбранном способе входа и состоянии учетной записи. При включении соответствующего способа — защищенное производное пароля, идентификатор и открытый ключ passkey, защищенный секрет TOTP и сведения о резервных кодах. | Пункт 5 части 1 статьи 6 Закона № 152-ФЗ — заключение по инициативе пользователя и исполнение договора, стороной или выгодоприобретателем которого он является. Для доступа уполномоченного представителя организации — пункт 7 при соблюдении прав представителя. Состав данных ограничивается необходимым для выбранного способа входа. | В течение периода, когда учетная запись необходима для действующего договора и обязательств по нему. После прекращения этой цели или обоснованного удаления учетной записи — удаление в пределах 30 дней, кроме отдельно выделенных сведений с сохраняющимся законным основанием. |
| Оформление заказа и предоставление лицензии | Покупатель — физическое лицо, в том числе самозанятый, или ИП: имя и реквизиты в объеме, необходимом для выбранной формы договора и документов, email, заказ, редакция и срок лицензии, ее идентификатор, сведения о предоставлении ключа и ZIP-архива. Для ИП — ИНН, ОГРНИП и необходимые деловые реквизиты. | Пункты 5 и 2 части 1 статьи 6 Закона № 152-ФЗ — заключение и исполнение договора, выполнение установленных законом обязанностей. Не все перечисленные реквизиты обязательны для каждого вида покупателя. | В течение исполнения договора и неисполненных обязательств по нему. После их завершения рабочие сведения удаляются в пределах 30 дней; документы учета и сведения конкретного спора хранятся отдельно по соответствующему основанию. |
| Взаимодействие с представителем покупателя-организации | Представитель: имя, должность или роль, деловые контакты, сведения о полномочиях, необходимые для заключения договора и документооборота. Реквизиты самой организации учитываются отдельно. | Пункт 7 части 1 статьи 6 Закона № 152-ФЗ — законный интерес в исполнении договора с организацией при соблюдении прав представителя; пункт 2 — в части обязательных по закону документов. Основание и необходимый объем проверяются до сбора. Договор с организацией сам по себе не делает каждого ее работника стороной договора. | До прекращения полномочий или необходимости делового контакта; актуальные контактные сведения удаляются в пределах 30 дней после прекращения цели. Сведения в обязательных документах сохраняются в пределах срока хранения этих документов. |
| Учет оплаты, оформление чеков и бухгалтерских документов, ЭДО | Покупатели и представители: необходимые договорные и расчетные реквизиты, номер и сумма заказа, статус, дата и идентификатор платежа, сведения о возврате, контакт для чека, реквизиты и подписи в документах ЭДО. Полные данные банковской карты и код ее безопасности не относятся к данным, принимаемым и хранимым Обществом при оплате на странице CloudPayments. | Пункты 2 и 5 части 1 статьи 6 Закона № 152-ФЗ — обязанности по применимому налоговому, бухгалтерскому и кассовому законодательству и исполнение договора. Состав получателей определяется выбранной платежной и документарной схемой. | Бухгалтерские документы — в течение обязательных архивных сроков, но не менее пяти лет после отчетного года по статье 29 Закона № 402-ФЗ. Для иных документов применяется установленный для их вида обязательный срок. Истечение лицензии или удаление аккаунта не сокращает этот срок. |
| Рассмотрение конкретного вопроса о сервисе | Автор обращения: email для ответа, текст вопроса, имя — если автор его указал. При обработке на основании согласия — его версия, время и факт отдельного подтверждения, связь с обращением. Иные сведения запрашиваются только при необходимости и наличии основания. | Пункт 1 части 1 статьи 6 и статья 9 Закона № 152-ФЗ — отдельное согласие на конкретное обращение, если вопрос не относится к договору или установленной законом процедуре. Для договорного обращения применяется пункт 5, для реализации предусмотренных законом прав — пункт 2. | До завершения рассмотрения конкретного вопроса; затем удаление в пределах 30 дней. При отзыве согласия — прекращение обработки и удаление в пределах 30 дней, если отсутствует другое законное основание. Переписка по договорному спору выделяется отдельно. |
| Защита доступа и расследование технических инцидентов | Пользователи: минимальные журналы входа и событий безопасности — идентификатор учетной записи, время, результат действия, IP-адрес и необходимые технические сведения о клиенте. Содержимое паролей, одноразовых кодов и полные ключи лицензий в журналы включаться не должны. | Пункт 2 части 1 статьи 6 и статья 19 Закона № 152-ФЗ — выполнение обязанностей по защите данных; пункт 7 части 1 статьи 6 — защита сервиса и прав участников при соблюдении их прав и свобод. | Обычный журнал — не более 90 дней с события. Отдельные сведения о выявленном инциденте могут сохраняться до завершения расследования и исполнения связанных с ним законных обязанностей; основание и срок для такой выборки фиксируются отдельно. |
| Ответ на запрос субъекта персональных данных | Заявитель: сведения, необходимые для установления личности и связи с обработкой, содержание запроса, ответ и сведения об исполнении. Для запроса по статье 14 — предусмотренные этой статьей реквизиты. Избыточные копии документов не запрашиваются. | Пункт 2 части 1 статьи 6, статьи 14, 20 и 21 Закона № 152-ФЗ — исполнение обязанностей оператора. Согласие не является обязательным условием рассмотрения такого запроса. | До исполнения запроса, затем в течение обязательного срока хранения соответствующего документа по закону и архивным правилам. При отсутствии такого срока и отдельного основания — удаление в пределах 30 дней после завершения цели. |
6. Учетные записи и данные доступа
При использовании учетной записи состав данных доступа ограничивается выбранным способом входа. Подключение всех способов одновременно не является необходимым для каждой операции. Данные одного профиля покупателя должны использоваться только для относящихся к нему заказов и документов.
Хранение паролей в открытом виде не допускается: для проверки пароля подлежит хранению его защищенное производное. Секреты TOTP и резервные коды требуют защиты от неправомерного доступа. При использовании passkey состав серверных данных ограничивается открытым ключом, идентификатором учетных данных и сведениями, необходимыми для проверки; передача закрытого ключа или биометрического шаблона для этой цели не требуется.
Общество не должно запрашивать в обращениях пароль, секрет TOTP, действующий одноразовый код, закрытый ключ passkey или код безопасности банковской карты. Лицензионные ключи и ссылки на архив не следует публиковать или пересылать в общедоступные каналы.
7. Источники данных и получатели
Источниками данных при соответствующем действии являются сам пользователь, покупатель-организация в отношении уполномоченного представителя, подтверждения платежа и документы ЭДО. Если сведения получены не от субъекта, Общество должно выполнить обязанность по его информированию по статье 18 Закона № 152-ФЗ, когда отсутствует предусмотренное законом исключение.
Для оплаты выбран сервис CloudPayments. При оформлении платежа для проведения расчета, его подтверждения, фискализации и возврата могут передаваться необходимые сведения о заказе, сумме и плательщике, контакт для чека и идентификаторы операции. Платежные реквизиты вводятся на платежной странице. Для электронного обмена договорными и учетными документами выбран СБИС (Saby) от «Тензор»; при таком обмене обрабатываются необходимые реквизиты сторон, представителей, подписей и документов. Само посещение сайта не является основанием для направления пользовательских данных в эти сервисы.
Общество обязано определять состав получателей и передаваемых сведений применительно к конкретной платежной или документарной операции и предоставлять субъекту предусмотренную законом информацию. Правовые роли участников определяются их фактическими функциями и применимыми условиями, а не только названием сервиса.
Платежная организация, оператор фискальных данных или оператор ЭДО может обрабатывать часть сведений как самостоятельный оператор в силу закона и своих отношений с пользователем. Исполнитель, который обрабатывает данные по поручению Общества, должен иметь надлежащее поручение с целью, перечнем данных и действий, требованиями конфиденциальности, безопасности и уведомления об инцидентах. Необходимость согласия на поручение определяется частью 3 статьи 6 Закона № 152-ФЗ и применимыми исключениями.
Доступ работников должен ограничиваться их обязанностями. Передача государственным органам возможна при наличии предусмотренного законом основания и в установленном порядке. Продажа персональных данных, их открытая публикация и передача для сторонней рекламы в описанные цели не входят.
8. Размещение систем и трансграничная передача
При сборе персональных данных граждан Российской Федерации, в том числе через Интернет, Общество обязано соблюдать часть 5 статьи 18 Закона № 152-ФЗ: не допускается использование находящихся за пределами Российской Федерации баз данных для предусмотренных этой нормой операций, кроме прямо установленных законом исключений. Само по себе согласие пользователя не отменяет это требование.
Выбор информационных систем, почтовых сервисов, мест хранения и исполнителей должен соответствовать применимым требованиям к обработке и защите данных. Информация о фактическом месте нахождения базы данных предоставляется субъекту в установленном законом порядке.
Трансграничная передача допускается только на надлежащем правовом основании после выполнения требований статьи 12 Закона № 152-ФЗ, включая предусмотренную процедуру уведомления. Условия обработки и сведения для субъекта должны отражать такую передачу до ее начала.
9. Защита, прекращение обработки и уничтожение
Общество обязано принимать правовые, организационные и технические меры по статьям 18.1 и 19 Закона № 152-ФЗ: определять ответственного за организацию обработки, ограничивать доступ, учитывать угрозы, обеспечивать контроль действий с данными, восстановление, реагирование на инциденты и контроль лиц, которым поручена обработка. Состав мер определяется фактическими системами, характером данных и требованиями законодательства.
При завершении цели сведения подлежат удалению или уничтожению в срок не более 30 дней, если иной срок или основание хранения не предусмотрены законом, применимым договором или соглашением с субъектом. При отзыве согласия прекращается обработка, для которой оно было единственным основанием. Обработка необходимых сведений может продолжиться на ином основании, предусмотренном законом; это основание и срок должны быть определены, а не распространяться автоматически на всю учетную запись.
При выявлении неправомерной обработки она должна быть прекращена в срок не более трех рабочих дней. Если обеспечить ее правомерность невозможно, данные подлежат уничтожению в срок не более десяти рабочих дней с выявления. Уточнение подтвержденных неточных данных выполняется в течение семи рабочих дней. В предусмотренных законом случаях на период проверки данные блокируются.
Общество обязано обеспечить удаление из рабочих систем и резервных копий, учет данных с обязательным сроком хранения и подтверждение уничтожения. Сохранение в резервной копии не должно превращаться в бессрочное хранение или возобновление удаленной обработки после восстановления. Если уничтожение в установленный срок невозможно, применяется предусмотренный законом порядок блокирования и последующего уничтожения.
10. Права и порядок обращения
Субъект вправе получить информацию об обработке своих данных, ее целях, основаниях, составе, источниках, получателях и сроках; требовать уточнения, блокирования или уничтожения данных в предусмотренных законом случаях; отозвать согласие; потребовать прекращения обработки с учетом установленных законом исключений; обжаловать действия оператора в Роскомнадзор или суд.
Письменные обращения направляются ООО «АЙТИ КОРПУС» по адресу: 355029, Ставропольский край, г. Ставрополь, ул. Ленина, д. 417, с пометкой «Персональные данные». Укажите предмет обращения и сведения, позволяющие соотнести его с обработкой. Для доступа к персональным данным по статье 14 Закона № 152-ФЗ запрос должен содержать предусмотренные частью 3 этой статьи реквизиты документа, удостоверяющего личность, сведения о связи с оператором или иное подтверждение обработки и подпись заявителя либо представителя. Необходимость дополнительных сведений оценивается соразмерно запросу; оригинал документа или его полная копия не требуются автоматически.
На запрос информации об обработке ответ предоставляется в течение десяти рабочих дней. Срок может быть продлен не более чем на пять рабочих дней с мотивированным уведомлением. Для отдельных требований об уточнении, прекращении обработки и уничтожении действуют специальные сроки статей 20 и 21 Закона № 152-ФЗ. Обращение за реализацией законного права не должно зависеть от согласия на рекламу, наличия покупки или действующей учетной записи.
Отзыв согласия на обращение можно направить по тому же адресу, указав email, использованный для обращения, его дату или тему и требование об отзыве. Отзыв не отменяет законность ранее выполненной обработки и не прекращает обязанности хранить документы, прямо предусмотренные законом.
11. Обязанности оператора и изменение политики
Общество обязано исполнять требования статьи 22 Закона № 152-ФЗ об уведомлении Роскомнадзора и актуализации сведений об обработке, если не применяется предусмотренное законом исключение. Наличие договора с пользователем само по себе не освобождает от этой обязанности.
Политика должна быть доступна на страницах, где собираются персональные данные. Изменение цели, состава данных или получателей требует проверки правового основания и предоставления субъекту необходимой информации, а когда требуется — нового отдельного согласия до начала соответствующей обработки.
Версия и дата редакции указываются в начале документа. Публикация новой редакции не расширяет ранее данное согласие и не ограничивает права, предоставленные законодательством Российской Федерации.