Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе «Картолис», размещённом по адресу kartolis.com (далее — Сервис).

1.2. Оператором персональных данных является физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход», реквизиты которого приведены в конце настоящего документа (далее — Оператор).

1.3. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и применяется ко всем сведениям, которые Оператор может получить о пользователях Сервиса.

1.4. Настоящая Политика находится в свободном доступе по адресу /privacy. Использование Сервиса означает согласие пользователя с её условиями.

1.5. Оператор не проверяет достоверность предоставляемых пользователем персональных данных и исходит из того, что пользователь предоставляет достоверные сведения.

2. Термины

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.

Пользователь — лицо, использующее Сервис, в том числе зарегистрировавшее учётную запись.

Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

3. Правовые основания обработки

3.1. Оператор обрабатывает персональные данные на следующих основаниях:

• согласие субъекта персональных данных на обработку (пункт 1 части 1 статьи 6 152-ФЗ) — при регистрации в Сервисе и при использовании файлов cookie веб-аналитики (раздел 9);
• необходимость исполнения договора, стороной которого является субъект персональных данных (пункт 5 части 1 статьи 6 152-ФЗ) — публичной оферты, размещённой по адресу /offer;
• необходимость исполнения обязанностей, возложенных на Оператора законодательством, в том числе налоговым (пункт 2 части 1 статьи 6 152-ФЗ).

3.2. Согласие на обработку данных, сообщаемых при регистрации, даётся пользователем путём совершения конклюдентных действий — заполнения регистрационной формы и подтверждения адреса электронной почты.

3.3. Согласие на использование файлов cookie веб-аналитики даётся отдельно и только активным действием посетителя в информационном сообщении, размещённом на страницах Сервиса. До получения такого согласия сбор соответствующих сведений не производится.

4. Категории субъектов и состав обрабатываемых данных

4.1. Оператор обрабатывает данные следующих категорий субъектов: пользователи, зарегистрировавшие учётную запись в Сервисе; посетители Сервиса, не зарегистрировавшие учётную запись; лица, обратившиеся к Оператору по каналам связи, указанным в разделе 11.

4.2. Оператор обрабатывает следующие персональные данные:

• сообщаемые при регистрации — имя, адрес электронной почты;
• сообщаемые в ходе использования — часовой пояс, содержание обращений в службу поддержки;
• собираемые автоматически — IP-адрес, дата и время обращения к Сервису, сведения о браузере и операционной системе, адрес запрашиваемой страницы;
• связанные с оплатой — сведения о суммах, датах и способах платежей, идентификаторы платежей в платёжных системах;
• собираемые системой веб-аналитики при наличии согласия (раздел 9) — IP-адрес, идентификатор файла cookie, сведения о браузере и устройстве, часовой пояс, адреса запрошенных страниц, адрес источника перехода, сведения о действиях пользователя на странице.

4.3. Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни), а также биометрические персональные данные.

4.4. Оператор не получает и не хранит реквизиты банковских карт и иных платёжных средств. Платежи проводятся платёжными системами, указанными в разделе 8; ввод платёжных реквизитов происходит на их стороне.

4.5. Сведения, вносимые пользователем при настройке проектов (наименования организаций, поисковые запросы, географические точки), персональными данными не являются и обрабатываются как пользовательский контент, за исключением случаев, когда пользователь по собственной инициативе включает в них персональные данные.

5. Цели обработки

5.1. Оператор обрабатывает персональные данные в следующих целях:

• регистрация и идентификация пользователя, предоставление доступа к Сервису;
• исполнение договора: оказание услуг, расчёты, учёт платежей и подписок;
• направление пользователю уведомлений, связанных с работой Сервиса: подтверждение адреса электронной почты, восстановление пароля, сведения о состоянии заданий, платежей и подписок;
• ответы на обращения пользователя;
• обеспечение работоспособности и безопасности Сервиса, выявление и предотвращение технических сбоев и злоупотреблений;
• сбор статистики посещаемости и анализ действий пользователей на страницах Сервиса в целях улучшения его работы — при наличии согласия пользователя;
• исполнение обязанностей, возложенных на Оператора законодательством.

5.2. Оператор не использует персональные данные для принятия решений на основании исключительно автоматизированной обработки, порождающих юридические последствия для пользователя.

5.3. Оператор не направляет пользователям рекламные и маркетинговые рассылки.

6. Порядок и условия обработки

6.1. Обработка осуществляется с использованием средств автоматизации и без таковых.

6.2. Обработка включает: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных. Оператор не осуществляет распространение и обезличивание персональных данных.

6.3. Базы данных Сервиса, содержащие персональные данные граждан Российской Федерации, размещены на территории Российской Федерации в соответствии с частью 5 статьи 18 152-ФЗ.

6.4. Оператор не осуществляет трансграничную передачу персональных данных.

7. Сроки обработки и хранения

7.1. Персональные данные обрабатываются в течение срока действия учётной записи пользователя.

7.2. При удалении учётной записи персональные данные удаляются в течение 30 календарных дней, за исключением сведений, обязанность хранения которых возложена на Оператора законодательством.

7.3. Сведения о платежах хранятся в течение срока, установленного налоговым законодательством Российской Федерации.

7.4. Обращения в службу поддержки хранятся в течение 12 месяцев с даты последнего сообщения.

7.5. Технические журналы, содержащие IP-адреса и сведения об обращениях к Сервису, хранятся не более 12 месяцев.

7.6. Сведения, собранные системой веб-аналитики (раздел 9), хранятся оператором этой системы в соответствии с его условиями. Оператор прекращает их сбор с момента отзыва согласия пользователем.

8. Передача третьим лицам

8.1. Оператор не продаёт и не передаёт персональные данные третьим лицам, за исключением случаев, указанных в настоящем разделе.

8.2. Для оказания услуг Оператор поручает обработку персональных данных следующим лицам:

• поставщик услуг размещения (хостинга) — хранение баз данных и файлов Сервиса;
• платёжные сервисы — приём платежей и информирование Оператора об их состоянии;
• поставщик услуг электронной почты — доставка писем пользователю;
• система веб-аналитики «Яндекс.Метрика» — сбор и обработка сведений о посещении Сервиса (раздел 9).

8.3. Обработка поручается в объёме, необходимом для соответствующей цели, на основании договоров, предусматривающих обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных.

8.4. Оператор предоставляет персональные данные государственным органам по их мотивированным запросам в случаях и в порядке, установленных законодательством Российской Федерации.

9. Файлы cookie

9.1. Сервис использует файлы cookie, необходимые для его работы:

• сессионный файл cookie — хранит идентификатор сессии и позволяет пользователю оставаться авторизованным при переходе между страницами;
• файл cookie защиты от подделки запросов (CSRF-токен) — обеспечивает безопасность отправки форм;
• файл cookie согласия — хранит выбор пользователя в отношении необязательных файлов cookie.

9.2. Указанные файлы cookie являются строго необходимыми: без них невозможны авторизация, отправка форм и сохранение самого выбора пользователя. Отдельное согласие на их использование не запрашивается, поскольку отказ от них означает невозможность использования Сервиса.

9.3. С согласия пользователя Сервис использует систему веб-аналитики «Яндекс.Метрика» (далее — Система аналитики). Система аналитики устанавливает собственные файлы cookie и собирает сведения, указанные в пункте 4.2 настоящей Политики.

9.4. До получения согласия код Системы аналитики не исполняется и запросы к её серверам не направляются. Отказ от аналитических файлов cookie не ограничивает доступ к Сервису и не влияет на оказание услуг.

9.5. Запись действий пользователя на странице (вебвизор) ведётся только на общедоступных страницах Сервиса и только в отношении неавторизованных посетителей. На страницах входа и регистрации, а также в личном кабинете такая запись не ведётся.

9.6. Согласие может быть отозвано в любой момент по ссылке «Настройки cookie» в нижней части любой страницы Сервиса. Отзыв прекращает дальнейший сбор сведений Системой аналитики.

9.7. Сервис не использует файлы cookie для рекламы, профилирования и отслеживания поведения пользователей на сторонних сайтах. Рекламные счётчики и пиксели в Сервисе не установлены.

10. Меры по обеспечению безопасности

10.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения, в том числе:

• передача данных между браузером пользователя и Сервисом осуществляется по протоколу HTTPS;
• пароли пользователей хранятся в виде необратимых хеш-значений и не могут быть восстановлены Оператором;
• доступ к базам данных ограничен и предоставляется только Оператору;
• доступ уполномоченного лица Оператора в личный кабинет пользователя возможен только по разовой ссылке, ограничен по времени, не позволяет изменять адрес электронной почты, пароль и платёжные данные пользователя и фиксируется в служебном журнале;
• ведётся журналирование действий, совершаемых в служебной панели Сервиса;
• выполняется резервное копирование данных.

10.2. Оператор ограничивает круг лиц, имеющих доступ к персональным данным, и обеспечивает ознакомление таких лиц с требованиями законодательства и настоящей Политики.

11. Права субъекта персональных данных

11.1. Пользователь вправе:

• получать сведения об обработке своих персональных данных, в том числе о целях, сроках, способах обработки и о лицах, которым они передаются;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных;
• обжаловать действия Оператора в Роскомнадзоре или в судебном порядке.

11.2. Часть прав реализуется пользователем самостоятельно: изменение имени и адреса электронной почты, изменение пароля и удаление учётной записи — в личном кабинете; отзыв согласия на использование файлов cookie веб-аналитики — по ссылке «Настройки cookie» в нижней части любой страницы Сервиса.

11.3. Для реализации остальных прав пользователь направляет запрос на адрес электронной почты Оператора, указанный в реквизитах. Запрос должен содержать сведения, позволяющие идентифицировать заявителя; запрос, направленный с адреса электронной почты, указанного в учётной записи, считается направленным её владельцем.

11.4. Оператор рассматривает запрос и направляет ответ в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.

11.5. Отзыв согласия на обработку данных, сообщаемых при регистрации, влечёт удаление учётной записи и прекращение оказания услуг, поскольку обработка этих данных необходима для исполнения договора.

11.6. Отзыв согласия на использование файлов cookie веб-аналитики последствий для учётной записи не влечёт и доступ к Сервису не ограничивает.

12. Изменение Политики

12.1. Оператор вправе вносить изменения в настоящую Политику, публикуя новую редакцию по адресу /privacy.

12.2. Дата редакции указывается в начале документа. Ранее действовавшие редакции остаются доступны по ссылкам на той же странице.

12.3. Пользователю рекомендуется периодически знакомиться с актуальной редакцией Политики.