Политика обработки персональных данных
Редакция от [дата публикации]
1. Общие положения
1.1. Политика написана по Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных» и описывает, какие персональные данные обрабатывает индивидуальный предприниматель [ФИО полностью], ИНН [ИНН], ОГРНИП [ОГРНИП] (далее — Оператор), зачем, как долго и как их защищает.
1.2. Политика относится к сайту [адрес сайта], Telegram-боту @resstatbot и мини-приложению, которое открывается из бота (вместе — Сервис).
1.3. Политика опубликована в свободном доступе по адресу [адрес сайта]/privacy/.
2. Термины
2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
2.2. Пользователь — физическое лицо, которое пользуется Сервисом: руководитель ресторана, управляющий или другой сотрудник, которому Заказчик открыл доступ.
2.3. Заказчик — организация или индивидуальный предприниматель, который заключил с Оператором договор на сопровождение ресторана.
2.4. Данные Заказчика — сведения, которые Заказчик загружает в Сервис для учёта: банковские выписки, выручка, платежи, смены и выплаты сотрудникам.
2.5. Остальные термины понимаются так, как в Законе № 152-ФЗ.
3. Чьи данные и какие
| Чьи | Какие | Зачем | Основание |
|---|---|---|---|
| Пользователи | Идентификатор, имя и имя пользователя в Telegram; роль и доступ к ресторанам | Вход в Сервис, разграничение доступа, напоминания об оплатах в Telegram | Исполнение договора с Заказчиком, п. 5 ч. 1 ст. 6 Закона |
| Пользователи и посетители сайта | Адрес IP, время и адрес запроса, сведения о браузере | Защита Сервиса от взлома и злоупотреблений, поиск ошибок | Законный интерес Оператора, п. 7 ч. 1 ст. 6 Закона |
| Сотрудники Заказчика | Фамилия, имя, должность или цех, ставка, смены, начисленные и выплаченные суммы | Учёт расходов на зарплату и смен по поручению Заказчика | Поручение Заказчика, ч. 3 ст. 6 Закона |
| Получатели и плательщики в выписках Заказчика | Фамилия, имя, отчество, ИНН, номер счёта, назначение платежа | Разнесение платежей по статьям расходов по поручению Заказчика | Поручение Заказчика, ч. 3 ст. 6 Закона |
| Те, кто пишет Оператору | Имя, контакт в Telegram или почта, текст обращения | Ответ на обращение, заключение договора | Согласие при обращении или подготовка договора, п. 1 и 5 ч. 1 ст. 6 Закона |
3.1. Оператор не обрабатывает специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические данные.
3.2. По данным сотрудников и контрагентов Заказчика Оператор действует по поручению Заказчика. Заказчик остаётся оператором этих данных и отвечает за то, что у него есть законное основание передать их Оператору. Условия поручения записаны в договоре.
4. Что Оператор делает с данными
4.1. Сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, обезличивание, блокирование, удаление и уничтожение. Обработка ведётся с использованием средств автоматизации.
4.2. Оператор не продаёт данные, не использует их для рекламы и не передаёт третьим лицам, кроме случаев из раздела 8.
4.3. Имена и ставки сотрудников видят только пользователи, которым Заказчик дал такой доступ. В советах, отчётах и других разделах Сервиса они не показываются.
5. Принципы
5.1. Оператор обрабатывает данные законно и только для целей из раздела 3, не собирает лишнего, следит за точностью данных и не хранит их дольше, чем нужно для этих целей.
6. Сроки
6.1. Данные пользователей и Данные Заказчика хранятся, пока действует договор с Заказчиком, и удаляются в течение 30 дней после его окончания, если Заказчик не попросил выгрузить их раньше.
6.2. Технические журналы хранятся не дольше 6 месяцев.
6.3. Обращения и переписка хранятся 3 года, если договор не был заключён, и столько, сколько требует закон, если был.
6.4. Данные удаляются раньше, если цель достигнута, согласие отозвано или субъект потребовал удаления и у Оператора нет другого законного основания.
7. Защита
7.1. Оператор принимает меры по ст. 18.1 и 19 Закона, в том числе:
- назначает ответственного за обработку персональных данных;
- даёт доступ к данным только тем, кому он нужен для работы, и разграничивает права пользователей в Сервисе;
- передаёт данные только по зашифрованному соединению (HTTPS);
- вход в Сервис возможен только через Telegram с проверкой подписи;
- хранит ключи доступа и пароли отдельно от кода и не передаёт их третьим лицам;
- делает резервные копии и проверяет, кто и когда обращался к данным.
7.2. Если данные утекли или к ним получили незаконный доступ, Оператор в течение 24 часов сообщает об этом в Роскомнадзор и Заказчику, а в течение 72 часов сообщает результаты расследования, как требует ч. 3.1 ст. 21 Закона.
8. Передача и хранение
8.1. Данные хранятся на серверах, расположенных в Российской Федерации. Запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан России ведутся в базах данных в России (ч. 5 ст. 18 Закона).
8.2. Оператор передаёт данные только:
- хостинг-провайдеру, у которого арендует сервер в России, на условиях конфиденциальности;
- Telegram — в объёме, нужном, чтобы отправить сообщение пользователю, который сам начал переписку с ботом;
- государственным органам — в случаях, предусмотренных законом.
8.3. Для подготовки советов Оператор может использовать сторонние сервисы обработки текста. Им передаются только обезличенные сводные цифры (суммы по статьям и месяцам) без имён, реквизитов и текстов платежей. Персональные данные в такие сервисы не передаются.
9. Трансграничная передача
9.1. Оператор не передаёт персональные данные на территорию иностранных государств. Если это понадобится, Оператор заранее уведомит Роскомнадзор (ст. 12 Закона) и обновит эту Политику.
10. Файлы cookie
10.1. Сервис не использует счётчики посещений, рекламные метки и cookie для отслеживания. В браузере сохраняются только настройки интерфейса, например выбранная тема.
11. Права субъекта персональных данных
11.1. Каждый, чьи данные обрабатывает Оператор, вправе:
- узнать, обрабатываются ли его данные, какие, зачем и как долго;
- потребовать уточнить, заблокировать или удалить данные, если они неполные, устарели, неточны или получены незаконно;
- отозвать согласие, если обработка шла по согласию;
- обжаловать действия Оператора в Роскомнадзоре или в суде.
11.2. Запрос можно отправить на почту [почта для запросов] или в Telegram [@контакт]. В запросе укажите, кто вы и о каких данных речь. Оператор отвечает в течение 10 рабочих дней; срок может быть продлён ещё на 5 рабочих дней с объяснением причины.
11.3. Если запрос касается данных, которые Оператор обрабатывает по поручению Заказчика (данные сотрудников, контрагентов в выписках), Оператор передаёт его Заказчику и помогает ответить.
12. Заключительные положения
12.1. Оператор может менять Политику. Новая редакция действует с момента публикации по адресу из п. 1.3, если в ней не сказано иное.
12.2. Ответственный за обработку персональных данных: [ФИО], [почта].