ЖУЖ
Политика в отношении обработки персональных данных
Оператор: Общество с ограниченной ответственностью «Диджитал скрипка»
ИНН / ОГРН: 6450117585 / 1246400000978
Адрес: Саратовская область, г. Саратов, ул. Некрасова, д. 33
Почта для обращений по персональным данным: skipkatech@ya.ru
1. Общие положения
1.1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет порядок и условия обработки персональных данных пользователей корпоративного мессенджера «ЖУЖ» (далее — Сервис), а также меры по их защите.
1.2. Политика является общедоступной и опубликована по адресу zhuzh.pro/privacy.html во исполнение ч. 2 ст. 18.1 Закона.
1.3. Сервис предназначен для внутренней рабочей переписки и звонков сотрудников организаций. Доступ к Сервису предоставляется только по приглашению администратора организации или по корпоративному адресу электронной почты.
2. Основные понятия
Термины «персональные данные», «обработка», «оператор», «субъект персональных данных», «блокирование», «уничтожение», «обезличивание», «трансграничная передача» используются в значениях, установленных ст. 3 Закона. Пользователь — физическое лицо, получившее доступ к Сервису. Организация — юридическое лицо или индивидуальный предприниматель, в рабочее пространство которого добавлен Пользователь.
3. Цели обработки и состав данных
| Цель | Персональные данные | Правовое основание |
|---|---|---|
| Регистрация и вход в Сервис, подтверждение личности одноразовым кодом | адрес электронной почты, номер телефона (если указан), одноразовые коды (хранятся в виде хеша) | согласие (п. 1 ч. 1 ст. 6 Закона) |
| Ведение профиля и отображение коллегам | фамилия, имя, отдел или должность, цвет аватара | согласие; исполнение соглашения (п. 5 ч. 1 ст. 6) |
| Обмен сообщениями, файлами и звонками | содержимое сообщений и файлов; сведения о звонках: время, длительность, участники. Содержимое звонков не записывается и не хранится | исполнение соглашения (п. 5 ч. 1 ст. 6) |
| Безопасность, предотвращение несанкционированного доступа | IP-адрес, сведения о браузере, дата и время входа, идентификатор сессии | законный интерес оператора (п. 7 ч. 1 ст. 6) |
| Направление служебных писем (коды входа, приглашения) | адрес электронной почты | согласие (п. 1 ч. 1 ст. 6) |
3.2. Оператор не обрабатывает специальные категории персональных данных (ст. 10 Закона) и биометрические персональные данные (ст. 11 Закона). Пользователь не должен размещать такие данные в Сервисе без законных оснований.
3.3. Категории субъектов: сотрудники и представители Организаций, а также иные лица, приглашённые администратором Организации.
4. Действия с данными и способы обработки
4.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных.
4.2. Обработка осуществляется автоматизированным способом с использованием баз данных. Решения, порождающие юридические последствия, исключительно на основе автоматизированной обработки не принимаются.
5. Хранение и локализация
5.1. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона). Серверы Сервиса размещены в дата-центре на территории Российской Федерации (г. Санкт-Петербург).
5.2. Трансграничная передача персональных данных не осуществляется. Шрифты, скрипты и иные ресурсы Сервиса загружаются с серверов Сервиса, а не со сторонних иностранных ресурсов.
6. Передача третьим лицам
6.1. Оператор привлекает следующих лиц, обрабатывающих данные по его поручению (ч. 3 ст. 6 Закона) с соблюдением конфиденциальности и мер защиты:
- провайдер облачной инфраструктуры Timeweb Cloud (Российская Федерация) — размещение серверов и баз данных;
- почтовый сервис Яндекс (Российская Федерация) — отправка служебных писем с кодами входа и приглашениями.
6.2. Данные Пользователя доступны администраторам Организации в объёме, необходимом для управления рабочим пространством (список участников, роли, доступ). Сообщения доступны участникам соответствующих чатов.
6.3. Персональные данные могут быть переданы государственным органам только в случаях и порядке, прямо предусмотренных законодательством Российской Федерации.
7. Сроки обработки и уничтожение
- Данные профиля, сообщения и файлы — в течение срока участия Пользователя в рабочем пространстве Организации или до отзыва согласия.
- Одноразовые коды входа — не более 10 минут.
- Сведения о сессиях и входах — до выхода из сессии, но не более 60 дней.
- Резервные копии базы данных — не более 14 дней.
7.2. При достижении целей обработки или отзыве согласия персональные данные уничтожаются в срок, не превышающий 30 дней (ст. 21 Закона), если иное не предусмотрено законом или соглашением с Пользователем. Уничтожение подтверждается актом в соответствии с требованиями уполномоченного органа.
8. Права субъекта персональных данных
8.1. Пользователь вправе (ст. 14–17 Закона):
- получать сведения об обработке своих персональных данных;
- требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или ненужных для заявленной цели данных;
- отозвать согласие на обработку персональных данных;
- обжаловать действия или бездействие оператора в Роскомнадзор или в суд.
8.2. Запрос направляется на почту skipkatech@ya.ru или по адресу оператора. Запрос должен содержать сведения, позволяющие идентифицировать Пользователя (например, адрес электронной почты, используемый для входа). Оператор отвечает в течение 10 рабочих дней с момента получения запроса. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ч. 1 ст. 20 Закона).
8.3. Имя и должность Пользователь может изменить самостоятельно в профиле Сервиса.
9. Меры защиты
- передача данных только по защищённым протоколам: HTTPS (TLS) для сообщений и файлов, DTLS-SRTP для звонков;
- шифрование содержимого сообщений и файлов при хранении на сервере (AES-256-GCM); ключ шифрования хранится отдельно от базы данных и резервных копий;
- разграничение доступа: данные рабочего пространства недоступны другим организациям, файлы доступны только участникам чата;
- коды входа хранятся в виде хеша, идентификатор сессии — в защищённом cookie (HttpOnly);
- ограничение числа попыток входа, межсетевой экран, регулярное резервное копирование;
- назначение лица, ответственного за организацию обработки персональных данных, и издание локальных актов (ст. 18.1, 19 Закона).
9.2. При выявлении неправомерной передачи (утечки) персональных данных оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).
10. Файлы cookie и локальное хранилище
Сервис использует только технически необходимый cookie сессии, без которого вход невозможен, и локальное хранилище браузера для настройки темы оформления. Счётчики посещаемости, рекламные и аналитические сервисы не используются.
11. Заключительные положения
11.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации. При существенных изменениях Пользователю будет предложено ознакомиться с новой редакцией при входе.
11.2. Отношения, связанные с обработкой персональных данных, регулируются законодательством Российской Федерации.