ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
1. Общие положения
1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые Царегородцевой Полиной Александровной, ИНН 540143905504 (далее — Оператор), и разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1.2. Политика применяется ко всем персональным данным субъектов, обрабатываемым Оператором при эксплуатации сервиса DriveIntellect, размещённого по адресу https://driveintellect.ru/, и одноимённого мобильного приложения.
1.3. Политика распространяется на обработку персональных данных, совершаемую как с использованием средств автоматизации, так и без их использования.
1.4. Действующая редакция Политики размещается в свободном доступе по адресу https://driveintellect.ru/personal-data в соответствии с частью 2 статьи 18.1 Федерального закона № 152-ФЗ.
1.5. Лицом, ответственным за организацию обработки персональных данных, является индивидуальный предприниматель Царегородцева Полина Александровна.
2. Правовые основания обработки
Обработка персональных данных осуществляется на следующих правовых основаниях:
- Конституция Российской Федерации;
- Гражданский кодекс Российской Федерации;
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (в действующей редакции), в том числе пункт 5 части 1 статьи 6 — обработка, необходимая для исполнения договора, стороной которого является субъект персональных данных;
- Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Закон Российской Федерации от 07.02.1992 № 2300-I «О защите прав потребителей»;
- Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» — в части направления рекламных сообщений;
- договор, стороной которого является субъект персональных данных (публичная оферта Оператора);
- согласие субъекта персональных данных на обработку его персональных данных.
Правовое основание для каждой конкретной цели обработки указано в разделе 4 настоящей Политики.
3. Категории субъектов и обрабатываемых данных
3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:
- пользователи Сервиса — физические лица, зарегистрировавшиеся в Сервисе;
- лица, направившие обращения Оператору;
- представители контрагентов Оператора — юридических лиц и индивидуальных предпринимателей;
- партнёры Оператора — физические лица, участвующие в партнёрской программе.
3.2. Пользователи Сервиса. Обрабатываются:
| Категория | Состав |
|---|---|
| Идентификационные данные | фамилия, имя (в объёме, указанном пользователем) |
| Контактные данные | адрес электронной почты, номер телефона |
| Данные учётной записи | логин, хэш пароля, идентификатор учётной записи Яндекс ID при авторизации через этот сервис |
| Данные об использовании Сервиса | пройденные уроки, ответы на вопросы, ошибки, статистика по темам, значение шкалы готовности, даты и время сеансов |
| Данные обращений к AI-инструктору | тексты запросов пользователя |
| Данные о платежах | дата, сумма, статус платежа, идентификатор операции |
| Технические данные | IP-адрес, сведения об устройстве и браузере, данные файлов cookie |
3.3. Лица, направившие обращения: имя, адрес электронной почты, содержание обращения, а также иные данные, сообщённые заявителем добровольно.
3.4. Представители контрагентов: фамилия, имя, отчество, должность, рабочий телефон, адрес электронной почты, реквизиты доверенности при её наличии.
3.5. Партнёры Оператора: фамилия, имя, отчество, контактные данные, идентификатор промокода, реквизиты для перечисления вознаграждения, сведения, необходимые для исполнения налоговых обязанностей.
3.6. Оператор не обрабатывает специальные категории персональных данных, предусмотренные статьёй 10 Федерального закона № 152-ФЗ, и биометрические персональные данные, предусмотренные статьёй 11 указанного закона.
3.7. Данные банковских карт Оператором не обрабатываются и не хранятся: их обработка осуществляется оператором платёжного сервиса.
4. Цели обработки, категории данных, основания, способы и сроки
4.1. Пункт 2 части 1 статьи 18.1 Федерального закона № 152-ФЗ требует определить для каждой цели обработки категории и перечень обрабатываемых персональных данных, категории субъектов, способы, сроки обработки и хранения, а также порядок уничтожения данных. Приведённая ниже таблица содержит эти сведения в одном месте: она является основной и при расхождении с иными разделами Политики применяется она.
4.2. Обработка ведётся смешанным способом: с использованием средств автоматизации и без их использования. Указанный в таблице способ уточняет это применительно к конкретной цели.
| Цель обработки | Категории субъектов | Перечень обрабатываемых данных | Правовое основание | Способ обработки | Срок обработки и хранения |
|---|---|---|---|---|---|
| Предоставление доступа к Сервису, идентификация пользователя, сохранение прогресса обучения | пользователи Сервиса | идентификационные, контактные, данные учётной записи, данные об использовании Сервиса | договор, стороной которого является субъект (публичная оферта Оператора), пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ | автоматизированная обработка в информационной системе Сервиса | срок действия договора и три года после последнего входа в Личный кабинет |
| Формирование ответов AI-инструктора | пользователи Сервиса | тексты обращений к AI-инструктору | договор (публичная оферта Оператора) | автоматизированная обработка; передача обрабатывающему лицу без идентификаторов пользователя | на время формирования ответа; тексты обращений Оператором не хранятся |
| Проведение расчётов, направление кассовых чеков, исполнение налоговых обязанностей | пользователи Сервиса | контактные данные, данные о платежах | требования законодательства Российской Федерации о налогах и сборах и о применении контрольно-кассовой техники | автоматизированная обработка | срок, установленный налоговым законодательством |
| Рассмотрение обращений, претензий и запросов субъектов | лица, направившие обращения; пользователи Сервиса | контактные данные, содержание обращения | договор; часть 1 статьи 14 и статья 20 Федерального закона № 152-ФЗ | смешанная обработка | три года со дня ответа на обращение |
| Информирование об изменениях в работе Сервиса | пользователи Сервиса | контактные данные | договор (публичная оферта Оператора) | автоматизированная обработка | срок действия договора |
| Направление рекламных и информационных сообщений | пользователи Сервиса | контактные данные | предварительное согласие субъекта: статья 15 Федерального закона № 152-ФЗ, часть 1 статьи 18 Федерального закона «О рекламе» | автоматизированная обработка | до отзыва согласия |
| Анализ работы Сервиса и улучшение его функциональности | пользователи Сервиса | технические данные, обезличенные данные об использовании Сервиса | согласие субъекта на использование аналитических файлов cookie | автоматизированная обработка в обезличенном виде | 25 месяцев с даты сбора |
| Обеспечение безопасности Сервиса, предотвращение неправомерного доступа | пользователи Сервиса | технические данные, данные учётной записи | пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ (законные интересы Оператора), статья 19 того же закона | автоматизированная обработка | один год с даты события |
| Взаимодействие с контрагентами и партнёрами, выплата вознаграждений | представители контрагентов; партнёры Оператора | данные представителей контрагентов и партнёров, указанные в пунктах 3.4 и 3.5 | договор; требования законодательства Российской Федерации | смешанная обработка | срок действия отношений и три года после их прекращения |
| Передача автомобильной школе сведений об обучении по коду доступа | пользователи Сервиса, активировавшие код автомобильной школы | шкала готовности, доля верных ответов, слабые темы, дата последнего занятия, адрес электронной почты в частично скрытом виде | отдельное согласие субъекта | автоматизированная обработка | до окончания срока доступа по коду либо до отзыва согласия |
4.3. Сроки, указанные в таблице, не применяются к данным, хранение которых обязательно в силу закона либо необходимо для исполнения договора, стороной которого является субъект. По истечении срока данные уничтожаются в порядке, предусмотренном пунктами 6.6 и 6.7 настоящей Политики.
5. Принципы и условия обработки
5.1. Обработка осуществляется на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых и законных целей и не осуществляется способом, несовместимым с этими целями.
5.2. Не допускается объединение баз данных, обработка которых осуществляется в несовместимых между собой целях.
5.3. Обрабатываются только те персональные данные, которые отвечают целям обработки; их содержание и объём не являются избыточными по отношению к заявленным целям.
5.4. Оператор принимает необходимые меры по обеспечению точности персональных данных, их достаточности и актуальности, а также по удалению или уточнению неполных или неточных данных.
5.5. Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором.
5.6. Обработка персональных данных граждан Российской Федерации, включая их запись, систематизацию, накопление, хранение, уточнение и извлечение, осуществляется с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Федерального закона № 152-ФЗ. Инфраструктура размещена у российского поставщика услуг — ООО «Таймвэб.Клауд».
5.7. Трансграничная передача персональных данных Оператором не осуществляется.
6. Порядок и условия обработки
6.1. Обработка включает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
6.2. Сбор персональных данных осуществляется при регистрации в Сервисе, при авторизации через Яндекс ID, при оплате, при направлении обращений, а также автоматически при использовании Сервиса.
6.3. Поручение обработки. Оператор вправе поручить обработку персональных данных третьим лицам с согласия субъекта, на основании заключаемого договора, содержащего обязанность обеспечения конфиденциальности и безопасности данных. Обработка поручена следующим лицам:
| Лицо | Объём поручения | Цель |
|---|---|---|
| ООО «Таймвэб.Клауд» | хранение всех категорий данных пользователей | размещение Сервиса и базы данных |
| ООО «Яндекс» — сервис YandexGPT | тексты обращений к AI-инструктору, передаваемые без идентификаторов пользователя | формирование ответов |
| ООО «Яндекс» — Яндекс Метрика | технические и обезличенные данные | сбор статистики посещаемости |
| ООО «Яндекс» — Яндекс ID | идентификатор учётной записи | авторизация пользователя |
| Оператор платёжного сервиса | контактные данные, данные о платеже | приём оплаты, направление кассового чека |
6.4. Ответственность перед субъектом персональных данных за действия указанных лиц несёт Оператор.
6.5. Сроки обработки и хранения по каждой цели приведены в таблице раздела 4 настоящей Политики. Отдельного срока, не указанного в этой таблице, Оператор не применяет.
6.6. Прекращение обработки и уничтожение персональных данных осуществляется в следующие сроки:
| Основание | Срок |
|---|---|
| Достижение цели обработки (часть 4 статьи 21 Федерального закона № 152-ФЗ) | прекращение обработки и уничтожение — не более 30 дней с даты достижения цели |
| Отзыв субъектом согласия на обработку (часть 5 статьи 21) | прекращение обработки и уничтожение — не более 30 дней с даты поступления отзыва |
| Требование субъекта о прекращении обработки (часть 5.1 статьи 21) | прекращение обработки — не более 10 рабочих дней с даты получения требования; срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления с указанием причин продления |
| Выявление факта неправомерной обработки (часть 3 статьи 21) | прекращение неправомерной обработки — не более 3 рабочих дней с даты выявления; если обеспечить правомерность обработки невозможно, уничтожение — не более 10 рабочих дней с даты выявления |
| Подтверждение факта неточности персональных данных (часть 2 статьи 21) | уточнение данных и снятие блокирования — в течение 7 рабочих дней со дня представления сведений |
Указанные сроки не применяются к данным, хранение которых обязательно в силу закона либо необходимо для исполнения договора, стороной которого является субъект. При отсутствии возможности уничтожения в указанные сроки Оператор осуществляет блокирование таких данных в соответствии с частью 6 статьи 21 Федерального закона № 152-ФЗ.
6.7. Порядок уничтожения и подтверждение факта уничтожения. Уничтожение персональных данных производится способом, исключающим возможность их дальнейшего восстановления и использования: удалением записей из баз данных и резервных копий, а на материальных носителях — уничтожением носителя либо его части.
Поскольку обработка осуществляется с использованием средств автоматизации, факт уничтожения подтверждается двумя документами одновременно, как того требуют Требования к подтверждению уничтожения персональных данных, утверждённые приказом Роскомнадзора от 28.10.2022 № 179:
- актом об уничтожении персональных данных, содержащим сведения об Операторе и о лице, которому была поручена обработка, сведения о субъекте, перечень категорий уничтоженных данных, наименование информационной системы, способ, причину и дату уничтожения, а также фамилию, имя, отчество, должность и подпись лица, уничтожившего данные;
- выгрузкой из журнала регистрации событий в информационной системе персональных данных.
Оба документа хранятся Оператором в течение трёх лет с даты уничтожения.
7. Права субъекта персональных данных
7.1. Субъект персональных данных имеет право:
- получать сведения, касающиеся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 Федерального закона № 152-ФЗ;
- требовать уточнения персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- требовать прекращения обработки персональных данных;
- отозвать согласие на обработку персональных данных;
- возражать против обработки в целях продвижения товаров, работ и услуг;
- обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.
7.2. Порядок обращения. Запрос направляется на адрес электронной почты Оператора driveintellect@yandex.ru либо из Личного кабинета пользователя.
Часть 3 статьи 14 Федерального закона № 152-ФЗ требует, чтобы запрос содержал:
- номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата его заключения, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
- подпись субъекта персональных данных или его представителя.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
Запрос, направленный из Личного кабинета пользователя, считается подтверждающим участие субъекта в отношениях с Оператором: доступ в Личный кабинет предоставляется после проверки подлинности учётной записи, и сведения о ней Оператору известны. В этом случае реквизиты документа, удостоверяющего личность, не запрашиваются. Если запрос направлен иным способом, Оператор вправе запросить недостающие сведения, предусмотренные частью 3 статьи 14 Федерального закона № 152-ФЗ, — исключительно в объёме, необходимом для установления личности заявителя, и без хранения копий документов.
7.3. Оператор рассматривает запрос и направляет ответ в течение 10 рабочих дней со дня обращения либо получения запроса (части 1 и 2 статьи 20 Федерального закона № 152-ФЗ). Указанный срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления с указанием причин продления. При отказе в предоставлении сведений Оператор направляет мотивированный ответ со ссылкой на конкретную норму права.
7.4. Требование о прекращении обработки. По требованию субъекта Оператор прекращает обработку его персональных данных в срок, не превышающий 10 рабочих дней с даты получения требования, за исключением случаев, предусмотренных пунктами 2–11 части 1 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления с указанием причин продления (часть 5.1 статьи 21 того же закона).
7.5. Отзыв согласия направляется в том же порядке. После отзыва Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней, за исключением данных, хранение которых обязательно в силу закона. Отзыв согласия на обработку данных, необходимых для доступа к Сервису, влечёт невозможность дальнейшего предоставления такого доступа; отзыв согласия на рекламные сообщения или на передачу сведений автомобильной школе на доступ к Сервису не влияет.
7.6. Оператор вправе отказать в удовлетворении запроса в случаях, предусмотренных частью 8 статьи 14 и статьёй 20 Федерального закона № 152-ФЗ, с обоснованием причин отказа в письменной форме.
8. Меры по обеспечению безопасности
8.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьёй 19 Федерального закона № 152-ФЗ, для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения.
8.2. Организационные меры:
- назначение лица, ответственного за организацию обработки персональных данных;
- издание настоящей Политики и локальных актов по вопросам обработки персональных данных;
- ограничение круга лиц, имеющих доступ к персональным данным, и определение объёма их полномочий;
- ознакомление лиц, осуществляющих обработку, с требованиями законодательства и локальных актов;
- осуществление внутреннего контроля соответствия обработки требованиям законодательства;
- оценка вреда, который может быть причинён субъектам персональных данных;
- фиксация и рассмотрение обращений субъектов.
8.3. Технические меры:
- разграничение прав доступа к информационным системам;
- применение средств аутентификации, хранение паролей в виде необратимых хэш-значений;
- шифрование каналов передачи данных с использованием протокола HTTPS;
- резервное копирование баз данных;
- ведение журналов событий безопасности;
- применение средств антивирусной защиты и межсетевого экранирования на стороне поставщика инфраструктуры;
- обезличивание данных при передаче на обработку сервису формирования ответов AI-инструктора.
8.4. Реагирование на инциденты. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор с момента выявления инцидента уведомляет уполномоченный орган по защите прав субъектов персональных данных в порядке, предусмотренном частью 3.1 статьи 21 Федерального закона № 152-ФЗ:
- в течение 24 часов — о произошедшем инциденте, о предполагаемых причинах, повлёкших нарушение прав субъектов, и предполагаемом вреде, о принятых мерах по устранению последствий инцидента, а также о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по вопросам, связанным с инцидентом;
- в течение 72 часов — о результатах внутреннего расследования выявленного инцидента и о лицах, действия которых стали причиной инцидента, при наличии таких сведений.
8.5. Ответ на запросы уполномоченного органа направляется Оператором в течение 10 рабочих дней со дня получения запроса; указанный срок может быть продлён до 15 рабочих дней с уведомлением о причинах продления. Запросы, связанные с инцидентом, рассматриваются в сокращённые сроки, установленные законодательством.
9. Сведения об уведомлении уполномоченного органа
Оператор направил уведомление об обработке персональных данных в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций в порядке, предусмотренном статьёй 22 Федерального закона № 152-ФЗ.
Сведения об Операторе размещаются в реестре операторов, осуществляющих обработку персональных данных. Реестр ведётся уполномоченным органом и открыт по адресу https://pd.rkn.gov.ru/operators-registry/operators-list/ — Оператора можно найти в нём по ИНН 540143905504.
10. Заключительные положения
10.1. Настоящая Политика подлежит изменению в случае изменения законодательства Российской Федерации, состава обрабатываемых данных, целей обработки или перечня лиц, которым поручена обработка.
10.2. Новая редакция вступает в силу с момента её размещения по адресу https://driveintellect.ru/personal-data.
10.3. Контроль за исполнением настоящей Политики осуществляет лицо, ответственное за организацию обработки персональных данных.