Политика в отношении обработки персональных данных

Оператор персональных данных

Наименование

Общество с ограниченной ответственностью «Образовательный центр «Квадрат»

ИНН

9728094924

КПП

772801001

ОГРН

1237700316732

Юридический адрес

119421, Россия, г. Москва, вн. тер. г. муниципальный округ Обручевский, ул. Обручева, д. 28, к. 7, кв. 129

Генеральный директор

Чикунов Всеволод Владимирович

Телефон

+7 917 591-15-08

Электронная почта

fin.gov.ru@yandex.ru

1. Общие положения

1.1. Оператор ставит своей важнейшей целью соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиту прав на неприкосновенность частной жизни, личную и семейную тайну.

1.2. Настоящая Политика применяется ко всей информации, которую Оператор может получить о пользователях во время использования ими Сайта, его сервисов, форм обратной связи, регистрации и форума.

1.3. Основные понятия, используемые в Политике, применяются в значениях, определённых статьёй 3 Федерального закона № 152-ФЗ.

2. Правовые основания и принципы обработки

2.1. Правовыми основаниями обработки персональных данных являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» и принятые в соответствии с ним нормативные правовые акты;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• согласие пользователя, предоставленное в порядке, предусмотренном настоящей Политикой и формами на Сайте;
• договор (в том числе публичная оферта), стороной которого либо выгодоприобретателем по которому является пользователь.

2.2. Обработка персональных данных осуществляется на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых и законных целей, не противоречащих закону.

3. Цели обработки

Оператор обрабатывает персональные данные пользователей в следующих целях:

• предоставление доступа к материалам и сервисам Сайта;
• ответы ИИ-помощника (справочный характер, не индивидуальная консультация);
• форум: публикация псевдонима по умолчанию; фамилии, имени и фотографии — только при отдельном согласии на распространение (ст. 10.1 152-ФЗ);
• регистрация пользователя на Сайте и идентификация при последующих визитах;
• обработка обращений, запросов и заявок, направленных через формы Сайта, по электронной почте или по телефону;
• организация и проведение образовательных программ, вебинаров, семинаров и иных мероприятий, включая заключение и исполнение договоров;
• направление уведомлений и информационных сообщений, связанных с использованием Сайта и оказанием услуг;
• улучшение работы Сайта: веб-аналитика только при отдельном согласии; обезличенные запросы к ИИ-помощнику хранятся 90 дней и доступны только SUPER_ADMIN;
• исполнение требований законодательства Российской Федерации, включая ведение бухгалтерского и налогового учёта.

4. Категории субъектов и обрабатываемых данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• посетители Сайта (включая пользователей, оставляющих обращения и заявки);
• зарегистрированные пользователи Сайта и форума;
• слушатели образовательных программ;
• контрагенты и представители контрагентов Оператора.

4.2. К обрабатываемым персональным данным могут относиться:

• фамилия, имя, отчество;
• адрес электронной почты; телефон и должность — только если субъект сам их указал;
• история диалога с ИИ-помощником и текст вопроса;
• голос только как текст после распознавания (аудиозапись не хранится и не используется для идентификации личности);
• вопросы к мероприятиям и ответы анкет;
• сведения профиля и форума (псевдоним; ФИО и фото — только при согласии ст. 10.1);
• при входе через Яндекс ID — идентификатор аккаунта Яндекса, имя, адрес электронной почты и фото профиля в объёме, который пользователь разрешил передать в окне Яндекса; на форуме эти имя и фото по умолчанию не показываются;
• технические данные: IP-адрес, cookie-файлы, идентификаторы сессии, сведения о браузере.

4.3. Оператор не обрабатывает специальные категории персональных данных (расовая, национальная принадлежность, политические взгляды, состояние здоровья и т. п.) и биометрические персональные данные. Голосовые сообщения используются исключительно для распознавания речи и не используются для идентификации личности.

5. Порядок и условия обработки

5.1. Обработка персональных данных осуществляется с конкретного, информированного и сознательного согласия субъекта персональных данных (ч. 1 ст. 9 Федерального закона № 152-ФЗ), выраженного в том числе путём:

• активного действия при заполнении формы регистрации или иной формы на Сайте: отдельная отметка о согласии на обработку персональных данных по документу «Согласие» (флажок не проставляется заранее); Условия использования принимаются нажатием кнопки отправки формы, о чём пользователь уведомляется рядом с кнопкой;
• при первом входе через Яндекс ID — отдельной отметки о согласии на обработку персональных данных до создания аккаунта; без такой отметки аккаунт не создаётся и полученные от Яндекса данные не сохраняются;
• отправки сообщения с электронной почты пользователя на адрес Оператора;
• нажатия кнопки «Принять» в информационном баннере о согласии на использование cookies и аналитики — отдельное согласие, которое можно отозвать в профиле, по ссылке «Настройки cookies» внизу страницы или в настройках браузера;
• отдельной отметки о согласии перед одним бесплатным вопросом ИИ-помощника без регистрации (галочка не проставляется заранее).

5.2. Согласие является конкретным, предметным и не предполагает принуждения. Отказ от согласия на обработку cookies и аналитики не ограничивает доступ к основному контенту Сайта.

5.3. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без таких средств. Оператор применяет смешанную обработку.

5.4. Хранение персональных данных осуществляется на серверах, расположенных на территории Российской Федерации, в соответствии с требованиями ч. 5 ст. 18 Федерального закона № 152-ФЗ.

5.5. В соответствии с п. 1 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ ответственным за организацию обработки персональных данных является директор Оператора, если приказом не назначено иное лицо. Контакты для обращений указаны в разделе «Контакты».

5.6. Оператор уведомляет Уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) об обработке персональных данных в порядке, установленном ст. 22 Федерального закона № 152-ФЗ. Сведения об Операторе подлежат включению в Публичный реестр операторов, осуществляющих обработку ПДн, размещённый на сайте Роскомнадзора.

5.7. Все обращения помощника, включая текст вопроса, историю диалога, голосовые сообщения и файлы-вложения, обрабатываются только моделью YandexGPT и сервисом Yandex SpeechKit на серверах в Российской Федерации. Трансграничная передача персональных данных не осуществляется. Подробности — в Согласии на обработку персональных данных.

6. Cookies и веб-аналитика

6.1. Сайт использует файлы cookies и аналогичные технологии для корректной работы сервисов, запоминания пользовательских настроек, а также для сбора статистики посещаемости с помощью Яндекс.Метрики и Google Analytics 4. С учётом разъяснений Роскомнадзора Оператор относит файлы cookies и IP-адрес к персональным данным и обрабатывает их в соответствии с 152-ФЗ.

Google Analytics 4 включается только после согласия на аналитику. В Google передаются сведения о просмотрах публичных страниц и прокрутке. Мы не передаём содержимое форм, чатов, поисковые запросы, email и параметры адресной строки. Рекламная персонализация отключена. Подробнее: как Google использует данные сайтов.

6.2. При первом посещении Сайта пользователю отображается уведомление с возможностью принять или отклонить использование cookies для аналитики. Сохранённый выбор учитывается при последующих визитах и может быть изменён в профиле или по ссылке «Настройки cookies» внизу страницы. Отключить cookies также можно в настройках браузера.

6.2.1. Необходимые cookies используются без отдельного согласия, так как без них Сайт не работает: сессия авторизации, защита форм от автоматической отправки, сохранение выбора по cookies, а также временная отметка о согласии при первом входе через Яндекс ID (хранится не более 15 минут и удаляется после создания аккаунта).

6.3. Отказ от cookies не лишает пользователя возможности пользоваться Сайтом, однако может ограничить доступ к части функций (например, авторизация, сохранение настроек).

6.4. Перечень cookies, которые ставит Сайт:

7. Передача данных третьим лицам

7.1. Оператор не продаёт и не передаёт персональные данные третьим лицам в коммерческих целях.

7.2. Передача персональных данных возможна:

• лицам, привлекаемым Оператором на основании договора для обеспечения работы Сайта, бухгалтерского учёта и оказания услуг, - в объёме, необходимом для выполнения договора, при условии соблюдения такими лицами требований к защите персональных данных;
• органам государственной власти и иным уполномоченным лицам в случаях и в порядке, установленных законодательством Российской Федерации.

7.3. При согласии на Google Analytics 4 сведения о посещениях передаются Google и могут обрабатываться на серверах за пределами Российской Федерации. Отклонить аналитику или отозвать согласие можно через «Настройки cookies» внизу сайта. Обращения субъектов и переписка обрабатываются в почте Яндекса (в том числе fin.gov.ru@yandex.ru). Мессенджеры для обработки персональных данных субъектов не используются.

7.4. Для обеспечения работы Сайта Оператор привлекает следующих обработчиков персональных данных (в объёме, необходимом для оказания услуг):

• ООО «Бегет» (Российская Федерация) — хостинг, VPS, объектное хранилище файлов (S3-совместимое); сервисные письма (коды входа) отправляются с этих серверов в Российской Федерации;
• Google — Google Analytics 4, статистика посещений публичных страниц только при согласии на аналитику.
• ООО «ЯНДЕКС» (Российская Федерация) — почта Яндекса для обращений субъектов и переписки Оператора; сервис веб-аналитики Яндекс.Метрика (при согласии пользователя на использование cookies для аналитики); сервис авторизации Яндекс ID — если пользователь сам выбрал вход через Яндекс, Яндекс по его разрешению передаёт Оператору данные аккаунта (см. п. 4.2); иных данных пользователя Оператор Яндексу не передаёт;
• Yandex Cloud (Российская Федерация) — обработка всех обращений помощника моделью YandexGPT и распознавание голосовых сообщений сервисом Yandex SpeechKit на серверах в Российской Федерации;
• GlitchTip на сервере Оператора — ошибки приложения без email и query;
• собственный NPA-трекер Оператора на его сервере в Российской Федерации — служебная библиотека НПА; данные субъекта наружу не передаются.

7.5. С обработчиками заключены договоры (оферты и условия оказания услуг Beget и Yandex Cloud), предусматривающие обязанность обеспечивать конфиденциальность и безопасность персональных данных в соответствии с Федеральным законом № 152-ФЗ.

8. Сроки обработки

Персональные данные обрабатываются до достижения целей обработки, либо до отзыва субъектом персональных данных своего согласия, либо в течение срока, установленного законодательством Российской Федерации (в том числе для целей бухгалтерского, налогового и архивного учёта). Сроки по видам данных: аккаунт — до удаления или отзыва; неактивный аккаунт — 3 года, затем письмо и удаление через 30 дней; журнал согласий — 3 года после отзыва; диалоги помощника — 12 месяцев; обезличенная аналитика запросов — 90 дней; поддержка и письма экспертам — 3 года; вопросы к мероприятиям и ответы анкет — 12 месяцев; файлы ассистента — 30 дней; аудио не хранится; жалобы на ответы помощника — 12 месяцев; гостевой вопрос — 12 месяцев; заявки и посещения мероприятий — 3 года / 12 месяцев; журнал действий админки — 14 дней; логи приложения — около 14 дней (ротация Docker); бэкапы — 5 последних. Подробная таблица — во внутреннем документе «Карта данных».

9. Права субъекта персональных данных

Субъект персональных данных вправе:

• получать сведения, касающиеся обработки его персональных данных, в объёме, предусмотренном ст. 14 Федерального закона № 152-ФЗ;
• требовать уточнения, блокирования или уничтожения своих персональных данных в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных в любой момент;
• обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

Для реализации перечисленных прав достаточно направить письменный запрос Оператору по одному из контактов, указанных в разделе «Контакты». Ответ предоставляется в течение 10 рабочих дней с момента получения запроса (ч. 1 ст. 20 Фз № 152-ФЗ); этот срок может быть продлён не более чем на 5 рабочих дней с направлением уведомления субъекту.

Отзыв согласия на обработку персональных данных выполняется в профиле (раздел «Персональные данные и приватность») либо заявлением на электронную почту или почтовый адрес Оператора. Отзыв согласия на обработку ПДн означает удаление аккаунта. Согласие на аналитику и на распространение ФИО/фото можно отозвать отдельно, без удаления аккаунта.

10. Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры, направленные на защиту персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий, включая:

• назначение лица, ответственного за организацию обработки персональных данных;
• принятие локальных актов, регулирующих обработку и защиту персональных данных;
• применение средств защиты информации: HTTPS/TLS, двухфакторное подтверждение входа администраторов, журнал действий админов, проверка загрузок по сигнатуре файла и эвристикам (без тяжёлого антивирусного демона), закрытый доступ к базе данных, ротация логов;
• ограничение доступа сотрудников и подрядчиков к персональным данным в объёме, необходимом для выполнения обязанностей;
• резервное копирование баз данных Сайта и контроль целостности информации.

11. Реагирование на инциденты

В случае неправомерной или случайной передачи персональных данных, повлекшей нарушение прав субъектов, Оператор в соответствии с ч. 3.1 ст. 21 Федерального закона № 152-ФЗ:

• в течение 24 часов уведомляет Роскомнадзор о случившемся инциденте, предполагаемых причинах и предполагаемом вреде для прав субъектов;
• в течение 72 часов направляет в Роскомнадзор результаты внутреннего расследования инцидента и сведения о лицах, действия которых стали его причиной;
• принимает меры по устранению причин и последствий инцидента, взаимодействует с ГосСОПКА (Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак) при необходимости.

12. Изменения Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция всегда размещена на Сайте по адресу fin-gov.ru/personal-data. Существенные изменения дополнительно сообщаются пользователям через интерфейс Сайта или по электронной почте.

13. Контакты

По любым вопросам, связанным с обработкой персональных данных, в том числе для подачи запросов и отзыва согласия, обращайтесь к Оператору:

• адрес: 119421, Россия, г. Москва, вн. тер. г. муниципальный округ Обручевский, ул. Обручева, д. 28, к. 7, кв. 129;
• электронная почта: fin.gov.ru@yandex.ru;
• телефон: +7 917 591-15-08.