Политика конфиденциальности

Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152‑ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок и условия обработки персональных данных, а также меры по обеспечению их безопасности, которые принимает Индивидуальный предприниматель Никитин Иван Алексеевич (далее — Оператор).

Политика применяется ко всем персональным данным, которые Оператор обрабатывает в связи с работой облачной системы управления строительными проектами «Шубаш» (далее — Сервис), доступной в сети Интернет по адресу https://lk.shubash.ru, при обработке заявок, оставленных через форму обратной связи на сайте Сервиса, а также при рассмотрении обращений, направленных Оператору.

Сервис предназначен для организаций, индивидуальных предпринимателей и физических лиц, которые ведут строительные проекты, и их работников: заказчиков, координаторов, подрядчиков, специалистов строительного контроля, главных инженеров проектов, начальников участков и частных заказчиков. Сервис не предназначен для лиц, не достигших 18 лет.

Обработка персональных данных основана на принципах законности и справедливости, соответствия целей обработки заранее определённым законным целям, соответствия объёма и содержания обрабатываемых данных заявленным целям, недопустимости обработки избыточных данных, точности и достаточности данных, а также хранения данных не дольше, чем этого требуют цели обработки.

Политика является общедоступным документом. Оператор публикует её на сайте Сервиса и в Сервисе и обеспечивает неограниченный доступ к ней, в том числе без регистрации и входа в Сервис (ч. 2 ст. 18.1 Закона о персональных данных).

В Политике используются следующие понятия:

• персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
• автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
• распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц;
• блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
• уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
• обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
• Пользователь — физическое лицо, которое зарегистрировалось в Сервисе или проходит регистрацию, в том числе по приглашению;
• Клиент — организация, индивидуальный предприниматель или физическое лицо, от имени и в интересах которого Пользователь создаёт компанию в Сервисе и работает в нём.

Оператором персональных данных является:

• наименование: Индивидуальный предприниматель Никитин Иван Алексеевич;
• ИНН: 781431127451;
• ОГРН (ОГРНИП): 321784700213960;
• адрес электронной почты для обращений по вопросам обработки персональных данных: info@shubash.ru.

Оператор обрабатывает персональные данные следующих категорий субъектов:

• Пользователи, в том числе представители и работники Клиентов;
• работники, представители и контактные лица Клиентов, подрядчиков и других участников проектов, сведения о которых Пользователи вносят в Сервис, в том числе приглашённые, но ещё не зарегистрировавшиеся лица;
• индивидуальные предприниматели, руководители и представители организаций, сведения о которых указаны в реквизитах компаний, договорах и иных документах либо содержатся в открытых данных Федеральной налоговой службы;
• посетители сайта Сервиса, оставившие заявку через форму обратной связи;
• лица, направившие Оператору обращение.

Данные Пользователя:

• фамилия, имя, отчество (при наличии);
• номер телефона;
• адрес электронной почты;
• должность и роль в Сервисе (заказчик, координатор, подрядчик, строительный контроль, главный инженер проекта, начальник участка, частный заказчик и другие);
• фотография профиля — если Пользователь её загрузил;
• пароль — хранится только в виде необратимого хеш-значения.

Данные о компании и её реквизиты — в части, относящейся к физическим лицам, в том числе к индивидуальным предпринимателям:

• полное и сокращённое наименование, ИНН, ОГРН или ОГРНИП, КПП;
• юридический, фактический и почтовый адреса;
• банковские реквизиты: наименование банка, БИК, расчётный и корреспондентский счета;
• фамилия, имя, отчество и должность руководителя и лиц, подписывающих документы, сведения о документах, подтверждающих их полномочия.

Данные работников, подрядчиков и других участников проектов, которые вносит Пользователь: фамилия, имя, отчество, адрес электронной почты, номер телефона, должность, роль и сведения об участии в проектах, договорах и тендерах.

Файлы и документы проектов — договоры, сметы, финансовые планы, акты, исполнительная и техническая документация, документы о качестве, предписания, фотографии и иные файлы, которые Пользователи загружают в Сервис, — в части содержащихся в них персональных данных.

Данные из заявки с сайта Сервиса: номер телефона и адрес электронной почты.

Сведения об оплате тарифа: тариф, сумма, дата и статус платежа, реквизиты выставленных счетов. Данные банковской карты Пользователь вводит на странице платёжного провайдера; Оператор их не получает и не хранит.

Технические данные:

• IP-адрес, сведения о браузере и устройстве, дата и время входа и действий в Сервисе;
• идентификаторы сессий, журналы событий безопасности и действий в Сервисе;
• данные, которые Сервис сохраняет в браузере Пользователя (cookies и локальное хранилище браузера — localStorage и sessionStorage): токены входа и идентификатор сессии, выбранная тема оформления и другие настройки интерфейса (подробнее — в разделе «Cookies и локальное хранилище браузера»).

Оператор не обрабатывает специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, судимости) и биометрические персональные данные.

Оператор обрабатывает персональные данные на основании:

• Конституции Российской Федерации, Гражданского кодекса Российской Федерации, Налогового кодекса Российской Федерации;
• Закона о персональных данных и принятых в соответствии с ним нормативных правовых актов;
• Федерального закона от 27.07.2006 № 149‑ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федерального закона от 06.12.2011 № 402‑ФЗ «О бухгалтерском учёте»;
• Федерального закона от 08.08.2001 № 129‑ФЗ «О государственной регистрации юридических лиц и индивидуальных предпринимателей» — в части сведений ЕГРЮЛ и ЕГРИП;
• договоров, заключённых Оператором с Клиентами и Пользователями, в том числе договоров о предоставлении доступа к Сервису;
• согласий субъектов на обработку персональных данных.

Обработка осуществляется в случаях, предусмотренных ч. 1 ст. 6 Закона о персональных данных:

• субъект дал согласие на обработку своих персональных данных (п. 1);
• обработка необходима для выполнения возложенных на Оператора законодательством Российской Федерации функций, полномочий и обязанностей, в том числе в области бухгалтерского и налогового учёта (п. 2);
• обработка необходима для исполнения договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект, а также для заключения договора по инициативе субъекта (п. 5);
• обработка необходима для осуществления прав и законных интересов Оператора или третьих лиц, в том числе для обеспечения безопасности Сервиса, при условии, что при этом не нарушаются права и свободы субъекта (п. 7);
• обрабатываются персональные данные, подлежащие опубликованию или обязательному раскрытию в соответствии с федеральным законом, — сведения ЕГРЮЛ и ЕГРИП (п. 11).

Персональные данные работников, подрядчиков и других лиц, которые Пользователь вносит в Сервис, Оператор обрабатывает по поручению Клиента, от имени которого действует Пользователь (ч. 3 ст. 6 Закона о персональных данных). Клиент в этом случае является оператором таких данных и обеспечивает законные основания для их обработки, в том числе получает необходимые согласия и уведомляет субъектов. Оператор обрабатывает такие данные только в объёме и для целей, необходимых для работы Сервиса.

Для каждой цели ниже указаны категории субъектов, обрабатываемые данные и правовые основания. Сроки обработки и хранения указаны в разделе «Сроки обработки и хранения, уничтожение».

Регистрация в Сервисе и доступ к нему — создание и ведение учётной записи, подтверждение адреса электронной почты, вход, восстановление пароля, приём приглашений:

• субъекты: Пользователи;
• данные: фамилия, имя, адрес электронной почты, номер телефона, пароль (хеш-значение), роль, технические данные;
• основания: согласие субъекта, исполнение договора.

Исполнение договора и оказание услуг — предоставление доступа к Сервису и его функциям в соответствии с выбранным тарифом, в том числе в демонстрационном режиме:

• субъекты: Пользователи, Клиенты — индивидуальные предприниматели и физические лица, представители Клиентов;
• данные: фамилия, имя, отчество, контактные данные, должность, данные о компании и её реквизиты;
• основания: исполнение договора, согласие субъекта.

Работа с проектами и договорами — ведение строительных проектов и объектов, формирование, согласование и подписание договоров, смет, финансовых планов, актов, документов о качестве и предписаний, проведение тендеров, приглашение сотрудников и подрядчиков, назначение ролей и прав доступа:

• субъекты: Пользователи, работники, представители и контактные лица Клиентов, подрядчиков и других участников проектов;
• данные: фамилия, имя, отчество, должность, роль, контактные данные, данные о компании и её реквизиты, файлы и документы проектов;
• основания: исполнение договора, согласие субъекта, поручение Клиента, законные интересы Оператора и Клиентов.

Уведомления по электронной почте — отправка кодов подтверждения, приглашений, уведомлений о событиях в компаниях, проектах, договорах и тендерах, счетов на оплату:

• субъекты: Пользователи и приглашённые лица;
• данные: фамилия, имя, адрес электронной почты, сведения о событии, к которому относится уведомление;
• основания: исполнение договора, согласие субъекта, поручение Клиента.

Оплата тарифа — выставление счетов, приём и учёт платежей, бухгалтерский и налоговый учёт:

• субъекты: Пользователи, Клиенты — индивидуальные предприниматели и физические лица, представители Клиентов;
• данные: фамилия, имя, отчество, адрес электронной почты, данные о компании и её реквизиты, сведения об оплате;
• основания: исполнение договора, выполнение обязанностей, возложенных на Оператора законодательством.

Проверка компаний по открытым данным ФНС России — проверка ИНН, заполнение реквизитов и контроль статуса организаций и индивидуальных предпринимателей:

• субъекты: индивидуальные предприниматели, руководители организаций;
• данные: ИНН, ОГРН или ОГРНИП, наименование, фамилия, имя, отчество, адрес, сведения о регистрации и статусе — в объёме сведений ЕГРЮЛ и ЕГРИП;
• основания: обработка данных, подлежащих обязательному раскрытию в соответствии с федеральным законом, исполнение договора.

Поддержка Пользователей — ответы на вопросы, рассмотрение обращений и претензий, в том числе запросов субъектов персональных данных:

• субъекты: Пользователи, лица, направившие обращение;
• данные: фамилия, имя, отчество, контактные данные, содержание обращения и приложенные к нему сведения;
• основания: исполнение договора, согласие субъекта, выполнение обязанностей, возложенных на Оператора законодательством.

Обработка заявок с сайта — связь с лицом, оставившим заявку через форму обратной связи на сайте Сервиса, и ответ на его вопрос о Сервисе:

• субъекты: посетители сайта Сервиса, оставившие заявку;
• данные: номер телефона, адрес электронной почты;
• основания: согласие субъекта (Согласие на обработку персональных данных, которое даётся отметкой в форме заявки);
• срок: до достижения цели обработки, но не более 1 года со дня получения заявки, либо до отзыва согласия.

Обеспечение безопасности — защита учётных записей и данных от несанкционированного доступа, ограничение попыток входа, ведение журналов событий, расследование инцидентов:

• субъекты: Пользователи;
• данные: адрес электронной почты, технические данные;
• основания: законные интересы Оператора и Пользователей, выполнение обязанностей, возложенных на Оператора законодательством.

Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права, исключительно на основании автоматизированной обработки персональных данных и не направляет рекламные рассылки без отдельного согласия субъекта.

Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Обработка осуществляется автоматизированным и смешанным способами, с передачей по информационно-телекоммуникационным сетям, в том числе по сети Интернет, и без таковой.

Оператор получает персональные данные непосредственно от субъекта; от Пользователей, которые вносят сведения о работниках, подрядчиках и других участниках проектов; из открытых данных ЕГРЮЛ и ЕГРИП.

Фамилия, имя, отчество, должность, роль и контактные данные Пользователя доступны другим Пользователям, которые работают с ним в одной компании, проекте, договоре или тендере, — в объёме, необходимом для совместной работы. Доступ определяется ролями и правами, которые назначает Клиент.

Оператор не осуществляет распространение персональных данных (раскрытие неопределённому кругу лиц).

Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом.

Для работы Сервиса Оператор поручает обработку персональных данных уполномоченным лицам на основании заключённых с ними договоров (поручений оператора) в соответствии с ч. 3 ст. 6 Закона о персональных данных. Такими лицами являются:

• Общество с ограниченной ответственностью «ТАЙМВЭБ.КЛАУД», ИНН 7810945525, ОГРН 1227800052215, адрес: 420500, Республика Татарстан, г. Иннополис, ул. Университетская, д. 7, офис 605, — хостинг (размещение сайта Сервиса, Сервиса и его баз данных, хранение резервных копий) и электронная почта (доставка кодов подтверждения, приглашений, уведомлений, счетов и заявок с сайта);
• Акционерное общество «ТБанк», ИНН 7710140679, ОГРН 1027739642281, адрес: 127287, г. Москва, ул. 2-я Хуторская, д. 38А, стр. 26, — приём оплаты тарифа;
• сервис получения сведений из открытых данных ФНС России «API-ФНС» (api-fns.ru, проект «ДаМИА»; реквизиты уточняются) — для проверки организаций и индивидуальных предпринимателей по ИНН и ОГРН (ОГРНИП).

Уполномоченные лица обрабатывают персональные данные только для целей, указанных в поручении, обязаны соблюдать принципы и правила обработки, предусмотренные Законом о персональных данных, сохранять конфиденциальность данных и обеспечивать их безопасность в соответствии со ст. 19 Закона о персональных данных. Ответственность перед субъектом за действия уполномоченного лица несёт Оператор.

Актуальный перечень лиц, которым поручена обработка, с их наименованиями и адресами Оператор сообщает субъекту по его запросу.

Органам государственной власти, суду и иным уполномоченным органам Оператор предоставляет персональные данные только в случаях и в порядке, предусмотренных законодательством Российской Федерации.

Оператор не осуществляет трансграничную передачу персональных данных.

При сборе персональных данных, в том числе посредством сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных).

Персональные данные обрабатываются и хранятся не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором, стороной, выгодоприобретателем или поручителем по которому является субъект.

Если иное не установлено федеральным законом или договором, персональные данные хранятся:

• данные учётной записи Пользователя — пока существует учётная запись;
• данные компаний, проектов, договоров и документов — в течение срока использования Сервиса Клиентом и срока действия договора с ним;
• документы и сведения об оплате — в течение сроков, установленных законодательством о бухгалтерском учёте и о налогах и сборах;
• данные из заявок с сайта Сервиса — до достижения цели обработки, но не более 1 года со дня получения заявки, либо до отзыва согласия;
• технические данные и журналы событий — в течение срока, необходимого для обеспечения безопасности Сервиса и расследования инцидентов;
• обращения субъектов и ответы на них — в течение срока, необходимого для их рассмотрения и подтверждения исполнения обязанностей Оператора.

При достижении целей обработки или утрате необходимости в их достижении, а также при отзыве субъектом согласия, если иных законных оснований для обработки нет, Оператор прекращает обработку персональных данных и уничтожает их (или обеспечивает их уничтожение лицом, действующим по его поручению) в срок, не превышающий 30 дней, если иное не предусмотрено договором или федеральным законом. При выявлении неправомерной обработки Оператор прекращает её и уничтожает данные в сроки, установленные ст. 21 Закона о персональных данных.

Если уничтожить персональные данные в указанный срок невозможно, Оператор блокирует их и обеспечивает уничтожение в срок не более шести месяцев, если иной срок не установлен федеральным законом.

Персональные данные в базах данных Сервиса уничтожаются удалением без возможности восстановления, в том числе из резервных копий. Уничтожение подтверждается документами, предусмотренными требованиями уполномоченного органа по защите прав субъектов персональных данных.

Субъект персональных данных вправе:

• получать сведения об обработке своих персональных данных Оператором: подтверждение факта обработки, её правовые основания, цели, способы и сроки, перечень обрабатываемых данных и источник их получения, сведения о лицах, которые имеют доступ к данным или которым они могут быть раскрыты, наименование и адрес лица, осуществляющего обработку по поручению Оператора, и иные сведения, предусмотренные ч. 7 ст. 14 Закона о персональных данных;
• требовать уточнения своих персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• защищать свои права и законные интересы, в том числе требовать возмещения убытков и компенсации морального вреда в судебном порядке.

Фамилию, имя, номер телефона и фотографию профиля Пользователь может изменить самостоятельно в разделе «Профиль» Сервиса.

Для реализации остальных прав субъект или его представитель направляет Оператору запрос на адрес электронной почты info@shubash.ru. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи этого документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты, указанный при регистрации в Сервисе), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором; подпись субъекта или его представителя. Запрос может быть направлен в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации.

Оператор отвечает на запрос в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней, если Оператор направит субъекту мотивированное уведомление с указанием причин продления.

Право субъекта на доступ к его персональным данным может быть ограничено в случаях, предусмотренных ч. 8 ст. 14 Закона о персональных данных.

Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для выполнения обязанностей, предусмотренных Законом о персональных данных, и для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

К таким мерам, в частности, относятся:

• назначение лица, ответственного за организацию обработки персональных данных, и издание локальных актов по вопросам обработки персональных данных;
• определение угроз безопасности персональных данных при их обработке в информационной системе Сервиса;
• разграничение доступа к данным по ролям и правам Пользователей; доступ работников Оператора к персональным данным — только в объёме, необходимом для выполнения их обязанностей;
• аутентификация Пользователей по паролю и хранение паролей только в виде необратимых хеш-значений;
• передача данных между браузером Пользователя и Сервисом по защищённому протоколу HTTPS;
• регистрация событий безопасности и действий в Сервисе, обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по их устранению;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• контроль за принимаемыми мерами и уровнем защищённости информационной системы;
• ознакомление работников Оператора, непосредственно осуществляющих обработку персональных данных, с требованиями законодательства и локальных актов о персональных данных.

При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор: в течение 24 часов — о произошедшем инциденте, в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона о персональных данных).

Для работы Сервиса в браузере Пользователя сохраняются небольшие фрагменты данных — в локальном хранилище браузера (localStorage и sessionStorage) и, если это необходимо для работы Сервиса, в файлах cookie. В них хранятся:

• токены входа и идентификатор сессии — чтобы не входить в Сервис заново при каждом открытии;
• выбранная тема оформления (светлая или тёмная) и другие настройки интерфейса;
• временные сведения о незавершённых действиях — например, о приглашении, по которому Пользователь входит или регистрируется, и об отправленном коде подтверждения.

Эти данные необходимы для работы Сервиса и не используются для показа рекламы. Сервис не подключает сторонние системы веб-аналитики и рекламные счётчики.

Пользователь может удалить сохранённые данные или запретить их сохранение в настройках браузера. После этого потребуется войти в Сервис заново, а часть функций может работать некорректно.

Оператор вправе изменять Политику, в том числе при изменении законодательства или порядка обработки персональных данных. Новая редакция вступает в силу с момента её размещения в Сервисе, если иное не предусмотрено новой редакцией.

Дата действующей редакции указана в начале Политики. Если изменения требуют нового согласия субъекта, Оператор запрашивает его до начала обработки на новых условиях.

Вопросы, запросы и обращения, связанные с обработкой персональных данных, направляйте Оператору на адрес электронной почты info@shubash.ru.

Условия, на которых Пользователь даёт согласие на обработку персональных данных при регистрации, изложены в документе «Согласие на обработку персональных данных», с которым Пользователь знакомится при регистрации в Сервисе. Условия, на которых посетитель сайта Сервиса даёт согласие при отправке заявки, изложены в документе «Согласие на обработку персональных данных» для заявки с сайта.

Надзор за соблюдением законодательства о персональных данных осуществляет Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).