Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), в том числе части 2 статьи 18.1 152-ФЗ, и определяет порядок обработки персональных данных (далее — «ПДн») и меры по обеспечению их безопасности в сервисе «Frac Online» (далее — «Сервис»), размещённом по адресу frac-online.ru.

1.2. Политика опубликована в открытом доступе и доступна неограниченному кругу лиц по постоянному адресу frac-online.ru/privacy.

1.3. Действие Политики распространяется на все операции по обработке ПДн, совершаемые Оператором как с использованием средств автоматизации, так и без них.

1.4. Используя Сервис, субъект ПДн подтверждает ознакомление с настоящей Политикой. Согласие на обработку ПДн оформляется отдельным документом — Согласием на обработку персональных данных.

2. Термины и определения

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн).
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку ПДн, определяющее цели обработки, состав ПДн и совершаемые с ними действия.
• Обработка ПДн — любое действие (операция) с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Пользователь (user) — субъект, транслирующий изображение собственного экрана и (или) технологические данные посредством Сервиса.
• Наблюдатель (observer) — субъект, получающий доступ к просмотру трансляции экрана другого пользователя по коду привязки (linking code).
• Администратор (admin) — субъект, осуществляющий управление Сервисом и имеющий доступ к трансляциям в своей зоне администрирования.
• Трансляция — процесс передачи изображения экрана устройства Пользователя и (или) связанных технологических данных.

Иные термины используются в значениях, установленных 152-ФЗ.

3. Правовые основания обработки

3.1. Оператор обрабатывает ПДн при наличии хотя бы одного из следующих правовых оснований (ст. 6 152-ФЗ):

• согласие субъекта ПДн, оформленное отдельным документом (текст согласия);
• исполнение договора, стороной которого является субъект ПДн — Пользовательского соглашения;
• осуществление прав и законных интересов Оператора — обеспечение работоспособности и информационной безопасности Сервиса (журнал событий безопасности), при условии ненарушения прав и свобод субъекта.

3.2. Отдельное оформление согласия. Согласие на обработку ПДн оформляется отдельным документом и не включается в текст договора, соглашения или анкеты (ст. 9 152-ФЗ). Согласие запрашивается отдельной, не предзаполненной отметкой при регистрации; факт, дата, версия документа и технические метки предоставления согласия фиксируются на стороне сервера.

3.3. Трудовые отношения. Если Пользователь является работником компании-клиента и мониторинг экрана осуществляется в рамках трудовых отношений, работодатель выступает самостоятельным оператором ПДн своего работника и обязан соблюсти требования главы 14 Трудового кодекса РФ: установить порядок контроля локальным нормативным актом, ознакомить с ним работников под подпись и получить их письменные согласия на мониторинг и передачу данных.

3.5. Оператор не обрабатывает специальные категории ПДн (о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни) и биометрические ПДн, а также не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки ПДн.

4. Категории субъектов и состав обрабатываемых данных

4.1. Категории субъектов ПДн: пользователи, наблюдатели и администраторы Сервиса, лица, оставившие заявку через форму на сайте, а также третьи лица, чьи данные могут непреднамеренно попасть в изображения экрана (см. раздел 13).

4.2. Оператор обрабатывает минимально необходимый состав данных:

4.3. Сервис не собирает: паспортные данные, геолокацию, биометрические и специальные категории ПДн, платёжные данные. Фамилия, имя, отчество и номер телефона обрабатываются только в том случае, когда субъект указал их сам в свободных полях или в форме заявки. Доступ к камере, микрофону и геолокации в веб-интерфейсе программно отключён.

5. Цели обработки

• регистрация и аутентификация пользователей, предоставление доступа к функциям Сервиса;
• предоставление функциональности удалённого мониторинга экрана: трансляция в реальном времени, финальный кадр завершённой трансляции;
• обеспечение взаимодействия участников трансляции (чат, привязка наблюдателей по кодам);
• ретрансляция технологических данных (DMS → Meyer) в рамках заявленной функциональности;
• обеспечение информационной безопасности, предотвращение несанкционированного доступа и расследование инцидентов (журнал событий безопасности);
• направление сервисных (транзакционных) уведомлений, связанных с работой Сервиса и учётной записи;
• направление рекламных сообщений — исключительно при наличии отдельного согласия (Согласие на рекламные рассылки);
• рассмотрение заявок и обращений, поступивших через форму на сайте, и ответ на них по указанному в заявке контакту;
• подтверждение фактов предоставления и отзыва согласий.

5.1. Платёжные операции в Сервисе не осуществляются; платёжные данные не обрабатываются. При запуске платных тарифов настоящая Политика будет дополнена.

6. Порядок и способы обработки

6.1. Обработка осуществляется смешанным способом: автоматизированно (серверное программное обеспечение Сервиса) и, в необходимых случаях, без использования средств автоматизации.

6.2. Сбор ПДн осуществляется:

• непосредственно от субъекта — при регистрации и настройке (email, пароль, имя устройства, никнейм);
• автоматически в процессе использования Сервиса — IP-адрес, текст чата, изображения экрана, метки согласий.

6.3. Хранение осуществляется в базе данных и файловом хранилище на серверной инфраструктуре Оператора, размещённой на территории Российской Федерации (см. раздел 8).

6.4. Доступ к ПДн имеют только лица, которым он необходим для целей, указанных в разделе 5, в пределах ролевой модели Сервиса (user / observer / admin). Лица, получившие доступ к ПДн, обязаны соблюдать их конфиденциальность.

7. Сроки хранения

7.1. ПДн хранятся не дольше, чем этого требуют цели их обработки (ч. 7 ст. 5 152-ФЗ). По достижении целей обработки либо при утрате необходимости в их достижении ПДн уничтожаются или обезличиваются, если иной срок не установлен федеральным законом или договором.

7.2. Детализация сроков и порядка уничтожения приведена в Политике сроков хранения и уничтожения данных.

8. Локализация данных на территории Российской Федерации

8.1. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение ПДн граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

8.2. Серверная инфраструктура Сервиса размещена у российского хостинг-провайдера на территории Российской Федерации. Зарубежные облачные сервисы и внешние системы аналитики не используются.

8.3. Трансграничная передача ПДн Оператором не осуществляется.

9. Передача третьим лицам

9.1. Оператор не передаёт и не распространяет ПДн третьим лицам, за исключением случаев, предусмотренных законодательством РФ, и привлечения лиц, участвующих в обеспечении работы инфраструктуры Сервиса:

9.2. Доступ к содержимому трансляции предоставляется наблюдателям и администраторам исключительно в рамках функциональности Сервиса и ролевой модели, по инициативе и с участием самого Пользователя (коды привязки).

9.3. Сторонние системы веб-аналитики, рекламные сети, трекеры и пиксели не используются. Механизм автообновления клиентского приложения загружает файлы обновлений; ПДн субъектов в рамках обновления не передаются.

9.4. Обработка ПДн работников компаний-клиентов по поручению таких компаний оформляется отдельным договором поручения на обработку персональных данных. Для его заключения компания-клиент обращается к Оператору по контактам, указанным в разделе 1.

10. Cookie и технические идентификаторы

Сервис использует только строго необходимые cookie для авторизации и защиты от мошеннических запросов. Рекламные и аналитические cookie не применяются. Состав, сроки и порядок управления cookie описаны в Политике использования cookie.

11. Права субъекта персональных данных

11.1. Субъект ПДн вправе:

• получать информацию, касающуюся обработки его ПДн;
• требовать уточнения (исправления), блокирования или уничтожения ПДн, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку ПДн в любой момент;
• требовать прекращения обработки и удаления своих ПДн;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) или в судебном порядке.

11.2. Обращения направляются на email vborisovvladimir@yandex.ru (тема: «Персональные данные»). Оператор предоставляет ответ в течение 10 рабочих дней с момента получения обращения; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления.

11.3. При отзыве согласия Оператор прекращает обработку и уничтожает ПДн в срок, не превышающий 30 дней с даты поступления отзыва, за исключением данных, обработка которых допускается без согласия субъекта на иных правовых основаниях.

12. Меры по обеспечению безопасности

Оператор принимает правовые, организационные и технические меры защиты ПДн, в том числе:

• шифрование каналов передачи данных;
• хранение паролей исключительно в защищённом виде, не в открытом тексте;
• разграничение прав доступа по ролям (user / observer / admin);
• ведение журнала событий безопасности с ограниченным сроком хранения;
• дополнительные меры защиты браузерных запросов; программное отключение доступа к камере, микрофону и геолокации;
• отказ от сторонних аналитических и рекламных сервисов, зарубежных сервисов хранения и обработки данных;
• размещение инфраструктуры и данных на территории РФ;
• назначение лица, ответственного за организацию обработки ПДн;
• внутренние регламенты: сроки хранения, реагирование на инциденты, правила рассылок.

13. Особенности обработки изображений экрана

13.1. Функциональность Сервиса предполагает захват и ретрансляцию изображений экрана рабочего устройства Пользователя, а также сохранение финального кадра завершённой трансляции. В кадр может попасть любая информация, отображаемая на экране в момент трансляции, включая ПДн третьих лиц, содержание переписки и сведения, составляющие охраняемую законом тайну.

13.2. В связи с этим Пользователь обязан:

• не выводить на транслируемый экран личную (не относящуюся к рабочим задачам) информацию, ПДн третьих лиц, личную переписку и охраняемую тайну без законного основания;
• закрывать посторонние окна, мессенджеры и приложения, не относящиеся к транслируемому рабочему процессу;
• использовать Сервис на рабочих устройствах и в рабочих целях.

13.3. Ответственность за содержание транслируемого и сохраняемого изображения экрана и за соблюдение прав третьих лиц несёт Пользователь, ведущий трансляцию, и (или) его работодатель как оператор ПДн работника (раздел 8 Пользовательского соглашения). Компаниям-клиентам до начала мониторинга необходимо оформить правовые основания: локальный нормативный акт о контроле, письменные согласия работников и договор поручения на обработку персональных данных.

14. Действия при инцидентах

14.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн Оператор уведомляет уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор): первичное уведомление — в течение 24 часов, о результатах внутреннего расследования — в течение 72 часов.

14.2. Порядок фиксации, расследования и уведомления при инцидентах установлен внутренним Регламентом реагирования на инциденты Оператора.

15. Заключительные положения

15.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента публикации по адресу frac-online.ru/privacy, если иное не предусмотрено новой редакцией. О существенных изменениях Оператор уведомляет пользователей сервисным сообщением.

15.2. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.

15.3. Связанные документы: Согласие на обработку ПДн, Согласие на рекламные рассылки, Пользовательское соглашение, Политика cookie, Политика рассылок, Политика сроков хранения.