Политика в отношении обработки персональных данных

1.1.Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») в целях обеспечения защиты прав и свобод субъектов персональных данных при обработке их персональных данных, а также информирования субъектов о порядке обработки персональных данных в сервисе онлайн-записи okno.

1.2.Во исполнение требований части 2 статьи 18.1 Закона о персональных данных настоящая Политика публикуется в свободном доступе в информационно-телекоммуникационной сети «Интернет» по адресу https://okno.business/legal/privacy.

1.3.Оператором персональных данных является Индивидуальный предприниматель Каменков Артём Денисович, ОГРНИП 324911200020401, ИНН 910924469701, адрес: 297576, Республика Крым, Симферопольский район, село Лозовое (далее — «Оператор»).

1.4.Настоящая Политика распространяется на все персональные данные, обрабатываемые Оператором с использованием средств автоматизации и без использования таких средств.

1.5.Порядок обработки файлов cookie определён отдельным документом — Политикой обработки файлов cookie, размещённой по адресу https://okno.business/legal/cookie.

2.1.Сервис — программа для ЭВМ «okno», доступ к функциональным возможностям которой предоставляется удалённо через сеть «Интернет» по адресу https://okno.business.

2.2.Пользователь — лицо, заключившее с Оператором договор на условиях Публичной оферты и использующее Сервис для организации записи и обслуживания своих клиентов (мастер, владелец или администратор студии, салона, барбершопа, сотрудник такой команды).

2.3.Клиент Пользователя — физическое лицо, записывающееся на услуги Пользователя посредством Сервиса либо сведения о котором Пользователь размещает в Сервисе.

2.4.Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.5.Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.6.Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

2.7.Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

2.8.Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

2.9.Блокирование персональных данных — временное прекращение обработки персональных данных, за исключением случаев, если обработка необходима для уточнения персональных данных.

2.10.Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2.11.Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

2.12.Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.13.Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

2.14.Лицо, осуществляющее обработку персональных данных по поручению оператора — лицо, которому оператор поручает обработку персональных данных на основании договора в соответствии с частью 3 статьи 6 Закона о персональных данных.

3.1.Оператор выступает в двух различных ролях в зависимости от категории обрабатываемых персональных данных.

3.2.В отношении персональных данных Пользователей, а также лиц, обратившихся к Оператору через формы обратной связи и чат поддержки, и посетителей сайта Оператор выступает оператором персональных данных. Условия такой обработки определены настоящей Политикой.

3.3.В отношении персональных данных Клиентов Пользователя, размещаемых в Сервисе Пользователем либо самим Клиентом Пользователя посредством публичной страницы записи, оператором персональных данных выступает Пользователь, а Оператор — лицом, осуществляющим обработку персональных данных по поручению оператора. Условия такого поручения определены Приложением № 1 к Публичной оферте (Поручение на обработку персональных данных).

3.4.Обязанности оператора в отношении персональных данных Клиентов Пользователя, включая получение согласий, рассмотрение обращений субъектов и уведомление уполномоченного органа, исполняет Пользователь.

3.5.Обращения Клиентов Пользователя, поступившие Оператору, перенаправляются соответствующему Пользователю в течение 3 (трёх) рабочих дней с уведомлением обратившегося лица о личности оператора.

4.1.Оператор обрабатывает персональные данные на следующих правовых основаниях:

1. 4.1.1.пункт 5 части 1 статьи 6 Закона о персональных данных — обработка необходима для исполнения договора, стороной которого является субъект персональных данных, либо для заключения договора по инициативе субъекта. На этом основании обрабатываются данные Пользователей, необходимые для регистрации и ведения персонального аккаунта, предоставления функциональных возможностей Сервиса, расчётов и технической поддержки, а также данные лиц, обратившихся в службу поддержки;
2. 4.1.2.пункт 1 части 1 статьи 6 Закона о персональных данных — обработка осуществляется с согласия субъекта персональных данных. На этом основании осуществляются трансграничная передача персональных данных, направление рекламных и информационных сообщений, а также обработка аналитических и функциональных файлов cookie;
3. 4.1.3.пункт 2 части 1 статьи 6 Закона о персональных данных — обработка необходима для исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе обязанностей по налоговому и бухгалтерскому учёту;
4. 4.1.4.часть 3 статьи 6 Закона о персональных данных — обработка персональных данных Клиентов Пользователя по поручению Пользователя как оператора.

4.2.Отзыв согласия, предоставленного на основании пункта 4.1.2, не прекращает обработку, осуществляемую на иных правовых основаниях.

4.3.Обработка специальных категорий персональных данных, предусмотренных статьёй 10 Закона о персональных данных, включая сведения о состоянии здоровья, а также биометрических персональных данных Оператором не осуществляется. Внесение таких сведений в Сервис не допускается.

5.1.Персональные данные обрабатываются Оператором в следующих целях:

1. 5.1.1.регистрация Пользователя и ведение персонального аккаунта, включая аутентификацию и восстановление доступа;
2. 5.1.2.предоставление функциональных возможностей Сервиса: ведение расписания, публикация страницы записи, оформление записей, ведение клиентской базы и истории визитов, оформление подарочных сертификатов;
3. 5.1.3.направление уведомлений о записях посредством SMS-сообщений и сообщений в мессенджерах;
4. 5.1.4.приём вознаграждения за использование Сервиса, а также обеспечение приёма предоплаты и чаевых в пользу Пользователя;
5. 5.1.5.предоставление технической поддержки и рассмотрение обращений;
6. 5.1.6.обеспечение безопасности Сервиса, выявление и предотвращение несанкционированного доступа и злоупотреблений;
7. 5.1.7.формирование ответов автоматизированного консультанта Сервиса на обращения Клиентов Пользователя;
8. 5.1.8.сбор и анализ статистики посещения сайта в обезличенном виде;
9. 5.1.9.направление рекламных и информационных сообщений при наличии согласия субъекта;
10. 5.1.10.исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

5.2.Обработка персональных данных в целях, несовместимых с указанными в пункте 5.1, не осуществляется.

5.3.Решения, порождающие юридические последствия в отношении субъекта персональных данных или иным образом затрагивающие его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных Оператором не принимаются.

6.1.Оператор обрабатывает персональные данные следующих категорий субъектов: Пользователи Сервиса; сотрудники команд Пользователей, которым Пользователь предоставил доступ к персональному аккаунту; Клиенты Пользователей; лица, обратившиеся к Оператору через формы обратной связи и чат поддержки; посетители сайта.

6.2.Персональные данные Пользователей и сотрудников их команд

1. 6.2.1.Имя мастера либо наименование студии, салона, барбершопа или компании.
2. 6.2.2.Ниша (специализация).
3. 6.2.3.Адрес электронной почты, используемый в качестве логина.
4. 6.2.4.Пароль, хранимый в виде необратимого хеш-значения.
5. 6.2.5.Адрес публичной страницы записи.
6. 6.2.6.Город и часовой пояс.
7. 6.2.7.Номер мобильного телефона.
8. 6.2.8.Адрес оказания услуг.
9. 6.2.9.Фотография и описание профиля.
10. 6.2.10.Сведения о выбранном Тарифе, произведённых оплатах и возвратах, без данных платёжных карт, которые Оператором не обрабатываются.
11. 6.2.11.Содержание обращений в службу поддержки.
12. 6.2.12.Технические данные: IP-адрес, сведения об устройстве и браузере, журналы сеансов и действий в Сервисе, файлы cookie и идентификаторы сессии.

6.3.Персональные данные Клиентов Пользователей. Обрабатываются Оператором по поручению Пользователя. Состав определён разделом 3 Поручения на обработку персональных данных (Приложение № 1 к Публичной оферте) и включает: фамилию, имя, отчество либо иное обозначение; номер мобильного телефона; адрес электронной почты; дату рождения; сведения о записях на услуги; сведения о совершённых платежах и предоплатах; комментарии и заметки Пользователя; идентификатор в мессенджерах.

7.1.Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства Российской Федерации.

7.2.Персональные данные предоставляются субъектом непосредственно либо, в отношении Клиентов Пользователя, вносятся Пользователем.

7.3.Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку персональных данных.

7.4.Раскрытие персональных данных третьим лицам и распространение персональных данных без согласия субъекта персональных данных не допускается, если иное не предусмотрено законодательством Российской Федерации.

7.5.Передача персональных данных органам дознания и следствия, иным уполномоченным органам государственной власти осуществляется в соответствии с требованиями законодательства Российской Федерации.

7.6.Хранение и размещение документов, содержащих персональные данные, в открытых электронных каталогах и файлообменниках не допускается.

7.7.Оператор осуществляет хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законодательством Российской Федерации либо договором.

8.1.Во исполнение статьи 18.1 и статьи 19 Закона о персональных данных Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

8.2.Организационные меры

1. 8.2.1.Назначение лица, ответственного за организацию обработки персональных данных.
2. 8.2.2.Утверждение внутренних документов, определяющих порядок обработки и защиты персональных данных.
3. 8.2.3.Ознакомление лиц, осуществляющих обработку персональных данных, с положениями законодательства и внутренними документами Оператора.
4. 8.2.4.Принятие лицами, имеющими доступ к персональным данным, обязательств по обеспечению конфиденциальности.
5. 8.2.5.Предоставление доступа к персональным данным только тем лицам, которым такой доступ необходим для исполнения их обязанностей.
6. 8.2.6.Осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства.

8.3.Технические меры

1. 8.3.1.Разграничение прав доступа к персональным данным на основании ролевой модели.
2. 8.3.2.Шифрование данных при передаче по каналам связи с использованием протокола TLS.
3. 8.3.3.Хранение аутентификационных данных в виде необратимых хеш-значений.
4. 8.3.4.Регулярное резервное копирование данных.
5. 8.3.5.Ведение журналов событий информационной безопасности и журналов доступа к персональным данным.
6. 8.3.6.Контроль за действиями лиц, имеющих доступ к персональным данным.
7. 8.3.7.Регулярное обновление используемого программного обеспечения.

8.4.Меры безопасности реализуются с учётом требований законодательства, современного уровня технических возможностей, характера обрабатываемых данных и рисков, связанных с их обработкой.

9.1.Оператор привлекает к обработке персональных данных следующих лиц на основании заключённых с ними договоров, предусматривающих обязанность соблюдения конфиденциальности и обеспечения безопасности персональных данных:

1. 9.1.1.Podaon SIA, регистрационный номер 40103450338, адрес: Riga, Ernesta Birznieka-Upisa iela 18, LV-1050, Латвийская Республика (сайт zomro.com). Функция: размещение (хостинг), хранение и резервное копирование данных Сервиса. Объём: весь объём данных учётной записи и записей клиентов. Действия: хранение, резервное копирование, удаление.
2. 9.1.2.ООО «СМС.РУ», ИНН 7713461582, ОГРН 1187746809007, адрес: 127422, г. Москва, ул. Тимирязевская, д. 5/14, кв. 99. Функция: доставка SMS-уведомлений о записи, напоминаний и ссылок на самостоятельную отмену записи. Объём: имя и номер телефона, дата, время и место записи. Действия: передача, использование, удаление.
3. 9.1.3.ООО НКО «ЮМани», ИНН 7750005725, ОГРН 1127711000031, адрес: 115035, г. Москва, ул. Садовническая, д. 82, стр. 2. Функция: приём предоплаты и возвратов по записям и подарочным сертификатам. Объём: имя, контактные данные и сведения о платеже без данных платёжных карт. Действия: передача, использование, хранение.
4. 9.1.4.ООО «КЛАУДПЭЙМЕНТС», ИНН 7708806062, ОГРН 1147746077159, адрес: 125212, г. Москва, Головинское шоссе, д. 5, к. 1, помещ. 158. Функция: приём и перевод чаевых Пользователю. Объём: имя, контактные данные и сведения о платеже без данных платёжных карт. Действия: передача, использование, хранение.
5. 9.1.5.Anthropic PBC, адрес: 548 Market Street, PMB 90375, San Francisco, CA 94104, Соединённые Штаты Америки. Функция: формирование ответов автоматизированного консультанта Сервиса на обращения Клиентов Пользователя. Объём: текст обращения Клиента Пользователя и сведения об услугах Пользователя. Действия: использование без хранения сверх срока, необходимого для формирования ответа.
6. 9.1.6.ООО «ЯНДЕКС», ИНН 7736207543, ОГРН 1027700229193, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16. Функция: сбор и анализ статистики посещения сайта (веб-аналитика). Объём: обезличенные технические данные, включая IP-адрес, сведения об устройстве и браузере, файлы cookie и идентификаторы аналитики. Действия: сбор, использование, хранение.
7. 9.1.7.Telegram Messenger Inc. и аффилированное с ним Telegram FZ-LLC, адрес: Business Central Towers, Dubai Media City, Дубай, Объединённые Арабские Эмираты. Уведомления направляются напрямую через Telegram Bot API, посредники не привлекаются. Функция: доставка Пользователю уведомлений о новых записях, отменах и напоминаниях, а также предоставление Пользователю доступа к своему расписанию через бота Сервиса. Объём: идентификатор чата Пользователя, сведения о записи, имя и номер телефона Клиента Пользователя. Действия: передача, использование, хранение в переписке Пользователя с ботом.

9.2.Ответственность за действия лиц, привлечённых к обработке, перед субъектом персональных данных несёт Оператор.

9.3.Об изменении перечня лиц, привлекаемых к обработке, Оператор уведомляет путём обновления настоящей Политики.

10.1.Оператор осуществляет трансграничную передачу персональных данных в следующие государства:

1. 10.1.1.Латвийская Республика — размещение, хранение и резервное копирование данных Сервиса. Иностранный получатель: Podaon SIA. Передаются: фамилия, имя, адрес электронной почты, номер телефона, идентификатор учётной записи, сведения о записях и визитах, технические данные и журналы Сервиса.
2. 10.1.2.Соединённые Штаты Америки — формирование ответов автоматизированного консультанта Сервиса. Иностранный получатель: Anthropic PBC. Передаются: текст обращения Клиента Пользователя и сведения об услугах Пользователя.
3. 10.1.3.Объединённые Арабские Эмираты — доставка Пользователю уведомлений о записях через мессенджер Telegram. Иностранный получатель: Telegram Messenger Inc. (Telegram FZ-LLC). Передаются: идентификатор чата Пользователя, сведения о записи, имя и номер телефона Клиента Пользователя.

10.2.Меры защиты, применяемые иностранными получателями, и условия прекращения обработки закреплены в договорах с иностранными получателями и их публичных условиях и политиках конфиденциальности и включают обеспечение конфиденциальности и безопасности данных, шифрование каналов передачи, ограничение доступа персонала, прекращение обработки и удаление данных по требованию Оператора либо при прекращении договора с ним.

10.3.Трансграничная передача осуществляется при наличии согласия субъекта персональных данных, если иное основание не предусмотрено Законом о персональных данных.

10.4.Уведомление о намерении осуществлять трансграничную передачу персональных данных направляется Оператором в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций в порядке, предусмотренном статьёй 12 Закона о персональных данных, до начала осуществления такой передачи.

11.1.Персональные данные Пользователя обрабатываются в течение срока действия договора между Пользователем и Оператором.

11.2.После прекращения договора данные Пользователя и Клиентов Пользователя хранятся в течение 90 (девяноста) календарных дней в целях обеспечения возможности восстановления доступа и выгрузки данных. Хранение в течение указанного срока осуществляется на основании пункта 5 части 1 статьи 6 Закона о персональных данных.

11.3.По истечении срока, указанного в пункте 11.2, персональные данные подлежат уничтожению, за исключением сведений, обязанность хранения которых установлена законодательством Российской Федерации, в том числе законодательством о налогах и сборах и о бухгалтерском учёте.

11.4.При отзыве согласия, предоставленного на основании пункта 4.1.2, обработка, осуществляемая на основании такого согласия, прекращается, а соответствующие данные уничтожаются в срок не более 30 (тридцати) календарных дней, если отсутствует иное правовое основание для их обработки.

11.5.Уничтожение персональных данных из резервных копий осуществляется по мере их плановой ротации, но не позднее 180 (ста восьмидесяти) календарных дней с даты уничтожения данных в основной базе.

11.6.Сроки хранения файлов cookie определены Политикой обработки файлов cookie.

12.1.Субъект персональных данных имеет право на получение следующих сведений:

• подтверждение факта обработки персональных данных Оператором;
• правовые основания и цели обработки персональных данных;
• применяемые Оператором способы обработки персональных данных;
• наименование и место нахождения Оператора, сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором либо на основании законодательства Российской Федерации;
• обрабатываемые персональные данные, относящиеся к соответствующему субъекту, источник их получения;
• сроки обработки персональных данных, в том числе сроки их хранения;
• порядок осуществления субъектом персональных данных прав, предусмотренных Законом о персональных данных;
• сведения об осуществлённой или предполагаемой трансграничной передаче данных;
• наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора.

12.2.Субъект персональных данных вправе требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

12.3.Субъект персональных данных вправе в любое время отозвать согласие на обработку персональных данных, направив соответствующее заявление на адрес support@okno.business, через чат поддержки либо в настройках персонального аккаунта.

12.4.Субъект персональных данных вправе обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций либо в судебном порядке.

12.5.Запрос субъекта персональных данных должен содержать: номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (адрес электронной почты или номер телефона, указанные при регистрации или при записи на услугу), либо иные сведения, подтверждающие факт обработки персональных данных Оператором; подпись субъекта персональных данных или его представителя.

12.6.Оператор рассматривает запрос и предоставляет ответ в срок, не превышающий 10 (десяти) рабочих дней с даты получения запроса. Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением субъекту уведомления о продлении с указанием причин.

12.7.Запросы, касающиеся персональных данных Клиентов Пользователя, рассматриваются Пользователем как оператором. Оператор перенаправляет такие запросы Пользователю в порядке, предусмотренном пунктом 3.5 настоящей Политики.

13.1.В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по запросу уполномоченного органа Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту, с момента такого обращения или получения запроса на период проверки, если блокирование не нарушает права и законные интересы субъекта персональных данных или третьих лиц.

13.2.В случае подтверждения факта неточности персональных данных Оператор уточняет персональные данные в течение 7 (семи) рабочих дней со дня представления соответствующих сведений и снимает блокирование.

13.3.В случае выявления неправомерной обработки персональных данных Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных с момента обращения или получения запроса и в срок, не превышающий 3 (трёх) рабочих дней, обеспечивает прекращение неправомерной обработки либо её приведение в соответствие с требованиями законодательства.

13.4.При достижении целей обработки персональных данных, а также в случае отзыва субъектом согласия на обработку персональные данные подлежат уничтожению, если иное не предусмотрено договором, стороной которого является субъект персональных данных, либо если у Оператора отсутствует иное правовое основание для обработки.

13.5.Уничтожение персональных данных на электронных носителях осуществляется путём стирания или форматирования носителя. Уничтожение документов на материальных носителях осуществляется способом, исключающим возможность восстановления содержания.

14.1.В случае выявления факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов персональных данных, а также факта неправомерного доступа к персональным данным Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в сроки, установленные частью 3.1 статьи 21 Закона о персональных данных.

14.2.В отношении персональных данных Клиентов Пользователя обязанность по уведомлению уполномоченного органа исполняется Пользователем как оператором. Оператор уведомляет Пользователя об инциденте в срок не более 24 (двадцати четырёх) часов с момента его выявления и предоставляет сведения, необходимые для подготовки уведомления.

14.3.Оператор проводит внутреннее расследование инцидента и в срок не более 72 (семидесяти двух) часов с момента его выявления направляет сведения о результатах расследования и принятых мерах.

15.1.Настоящая Политика вступает в силу с даты её публикации по адресу https://okno.business/legal/privacy.

15.2.Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с даты её публикации, если в самой редакции не указан более поздний срок. Предыдущие редакции сохраняются и остаются доступными.

15.3.Субъекту персональных данных рекомендуется периодически знакомиться с актуальной редакцией Политики.

15.4.В части, не урегулированной настоящей Политикой, применяются положения законодательства Российской Федерации.

16.1.Индивидуальный предприниматель Каменков Артём Денисович

16.2.ОГРНИП 324911200020401, ИНН 910924469701

16.3.Адрес: 297576, Республика Крым, Симферопольский район, село Лозовое

16.4.Адрес электронной почты для обращений по вопросам обработки персональных данных: support@okno.business

16.5.Адрес электронной почты службы поддержки: support@okno.business

16.6.Лицо, ответственное за организацию обработки персональных данных: Каменков Артём Денисович