ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

СЕРВИСА BANYA.DIGITAL

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок, условия обработки и меры по обеспечению безопасности персональных данных, предпринимаемые Индивидуальным предпринимателем Омаевым Арсланом Руслановичем (далее — Оператор).

1.2. Сведения об Операторе:

1.3. Действие настоящей Политики распространяется на все процессы сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, передачи (предоставления, доступа), обезличивания, блокирования, удаления и уничтожения персональных данных, осуществляемые с использованием веб-сайта и облачной SaaS-платформы для банных комплексов, расположенной в сети Интернет по адресу banya.digital (включая её поддомены).

1.4. Правовыми основаниями обработки персональных данных Оператором являются:

1.4.1. Статьи 5, 6, 9, 10.1, 18, 18.1, 21, 22 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;

1.4.2. Гражданский кодекс Российской Федерации;

1.4.3. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».

1.5. В соответствии с требованиями статьи 22 Федерального закона № 152-ФЗ Оператор направляет в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) Уведомление о намерении осуществлять обработку персональных данных до начала такой обработки и обеспечивает своевременную актуализацию сведений в Реестре операторов персональных данных.

1.6. Разграничение статуса и ролей Оператора в рамках SaaS-платформы:

1.6.1. Статус Оператора персональных данных. ИП Омаев А.Р. выступает Оператором персональных данных в отношении персональных данных зарегистрированных пользователей SaaS-платформы (B2B-клиентов, владельцев и администраторов банных комплексов), а также посетителей сайта banya.digital.

1.6.2. Статус Лица, осуществляющего обработку по поручению. В отношении персональных данных конечных клиентов и гостей банных комплексов (данные бронирований, посещений, учетные записи гостей), загружаемых B2B-клиентами в SaaS-платформу, ИП Омаев А.Р. выступает лицом, осуществляющим обработку персональных данных по поручению B2B-клиентов на основании части 3 статьи 6 Федерального закона № 152-ФЗ. В данном случае Операторами персональных данных гостей являются соответствующие банные комплексы (B2B-клиенты).

1.7. Настоящая Политика публикуется в свободном неограниченном доступе на веб-сайте banya.digital в соответствии с требованиями части 2 статьи 18.1 Федерального закона № 152-ФЗ.

2. Цели обработки персональных данных, категории данных и субъектов

2.1. Обработка персональных данных Оператором осуществляется в строго определенных целях с соблюдением требований части 3.1 статьи 22 Федерального закона № 152-ФЗ «О персональных данных».

2.2. Оператор четко разграничивает использование файлов cookie:

2.2.1. Технические (обязательные) файлы cookie: обрабатываются на основании необходимости исполнения договора/предоставления доступа к SaaS-платформе (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ) и обеспечивают поддержание сессии авторизации.

2.2.2. Аналитические и маркетинговые (необязательные) файлы cookie: обрабатываются исключительно при условии получения предварительного согласия субъекта персональных данных (ст. 9 Закона № 152-ФЗ).

3. Порядок и условия обработки персональных данных

3.1. Оператор осуществляет следующий перечень действий (операций) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

3.2. На основании части 3 статьи 6 Федерального закона № 152-ФЗ «О персональных данных» Оператор вправе поручить обработку персональных данных третьим лицам с согласия субъектов персональных данных на основании заключаемых с этими лицами договоров. К обработке персональных данных по поручению Оператора привлекаются следующие сторонние сервисы (обработчики):

3.2.1. ООО «ЮНИСЕНДЕР СМАРТ» (ОГРН 1227700213180) — для обеспечения отправки электронных писем, сервисных и маркетинговых рассылок.

3.2.2. АО «АЛЬФА-БАНК» (ОГРН 1027700067328) — для обеспечения эквайринга и обработки платежных транзакций.

3.2.3. ООО «Живой Сайт» (ОГРН 1127746026792) — для предоставления оперативной онлайн-поддержки пользователям на сайте.

3.2.4. ООО «ЯНДЕКС» (ОГРН 1027700229193) — для сбора и анализа веб-метрики и пользовательской активности через сервис «Яндекс.Метрика».

3.2.5. ООО «ВК» (ОГРН 1027739850962) — для анализа эффективности рекламы, веб-аналитики и учета конверсий через VK-пиксель.

3.3. В соответствии с частью 5 статьи 18 Федерального закона № 152-ФЗ при сборе персональных данных граждан Российской Федерации Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных с использованием баз данных, находящихся на территории Российской Федерации.

3.4. Трансграничная передача персональных данных на территорию иностранных государств Оператором не осуществляется.

4. Права субъектов персональных данных и порядок их реализации

4.1. Субъекты персональных данных имеют право:

4.1.1. На получение полной информации, касающейся обработки их персональных данных, в соответствии со статьей 14 Федерального закона № 152-ФЗ;

4.1.2. Требовать от Оператора уточнения их персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (статьи 14, 21 Закона № 152-ФЗ);

4.1.3. Отозвать ранее данное согласие на обработку персональных данных в любой момент и потребовать прекращения их обработки.

4.2. Для реализации указанных прав, направления обращений, запросов или отзывов согласия субъект персональных данных направляет заявление в электронной форме на официальный адрес электронной почты Оператора: info@banya.digital.

4.3. Сроки рассмотрения обращений и выполнения действий Оператором установлены в соответствии со статьями 14, 20 и 21 Федерального закона № 152-ФЗ:

4.3.1. Предоставление информации по запросу субъекта: в срок, не превышающий 10 рабочих дней с момента получения обращения. Указанный срок может быть продлен Оператором не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления с указанием причин продления.

4.3.2. Уточнение персональных данных: Оператор обязан внести необходимые изменения в неточные или неполные данные в срок, не превышающий 7 рабочих дней со дня предоставления субъектом (или его представителем) подтверждающих документов (ч. 2 ст. 21 Закона № 152-ФЗ).

4.3.3. Прекращение неправомерной обработки: в случае выявления неправомерной обработки Оператор обязан прекратить такую обработку (или обеспечить ее прекращение) в срок, не превышающий 3 рабочих дней с даты выявления (ч. 3 ст. 21 Закона № 152-ФЗ).

5. Сроки обработки и порядок уничтожения персональных данных

5.1. Персональные данные обрабатываются Оператором до момента достижения целей их обработки или до момента отзыва согласия субъектом персональных данных (если отсутствуют иные законные основания для обработки, предусмотренные законодательством РФ).

5.2. Порядок и нормативные сроки уничтожения персональных данных Оператором:

5.2.1. При достижении целей обработки или при отзыве согласия субъектом: Оператор обязан прекратить обработку и уничтожить персональные данные в срок, не превышающий 30 календарных дней с даты достижения цели или получения отзыва согласия (ч. 4 ст. 21 Закона № 152-ФЗ).

5.2.2. При невозможности обеспечения правомерности обработки: если установить правомерность обработки данных невозможно, Оператор обязан уничтожить такие данные в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки (ч. 3 ст. 21 Закона № 152-ФЗ).

5.3. Уничтожение персональных данных осуществляется путем безвозвратного стирания информации из электронных баз данных (удаление записей из системы управления базами данных) без возможности последующего восстановления содержимого.

6. Меры по обеспечению безопасности персональных данных

6.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в соответствии со статьей 19 Федерального закона № 152-ФЗ.

6.2. В рамках защиты облачной SaaS-инфраструктуры сервиса banya.digital применяются следующие меры:

6.2.1. Организационные меры:

6.2.1.1. Назначение лица, ответственного за организацию обработки персональных данных у Оператора;

6.2.1.2. Ограничение и регламентирование круга лиц, имеющих доступ к персональным данным и информационным системам;

6.2.1.3. Проведение регулярного внутреннего контроля и оценки эффективности принимаемых мер защиты.

6.2.2. Технические и правовые меры в облачной SaaS-среде:

6.2.2.1. Использование защищенного протокола передачи данных с шифрованием сетевых соединений (SSL/TLS);

6.2.2.2. Использование токенов доступа (включая refreshToken) для безопасной аутентификации пользователей;

6.2.2.3. Реализация межклиентской изоляции баз данных в рамках архитектуры SaaS-платформы;

6.2.2.4. Создание и хранение резервных копий баз данных в зашифрованном виде;

6.2.2.5. Применение ролевой модели разграничения прав доступа и контролей доступа на уровне API-интерфейсов.

7. Контактная информация и реквизиты Оператора