1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных, меры по их защите, а также права субъектов персональных данных при использовании сервиса DeskLink, включая веб-кабинет по адресу https://portal.cerio.ru и связанные компоненты сервиса.

1.2. Политика разработана во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и обеспечивает неограниченный доступ к сведениям о политике оператора в отношении обработки персональных данных.

1.3. Использование сервиса, регистрация (вход по адресу электронной почты) и (или) направление данных через формы сервиса означают, что субъект персональных данных ознакомлен с настоящей Политикой. В случаях, когда основанием обработки является согласие, оно оформляется отдельно от иных подтверждений (ч. 1 ст. 9 152-ФЗ) — если такое согласие запрашивается интерфейсом сервиса.

1.4. Политика применяется к обработке персональных данных, осуществляемой с использованием средств автоматизации и без использования таких средств, если при этом обеспечиваются поиск и (или) доступ к персональным данным.

Политика описывает фактическую модель обработки данных сервиса DeskLink на дату указанной версии. Внутренние локальные акты оператора (при их наличии) применяются дополнительно и не должны ухудшать права субъектов по сравнению с Политикой и 152-ФЗ.

2. Оператор персональных данных

2.1. Оператором персональных данных является лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и действия (операции) с ними (п. 2 ст. 3 152-ФЗ):

Оператор

Кладова Мария Михайловна

Правовой статус

физическое лицо — плательщик налога на профессиональный доход (самозанятый)

ИНН

595707752622

Обращения субъектов ПДн

support@cerio.ru

Техническая поддержка сервиса

support@cerio.ru

2.2. Юридически значимые сообщения по вопросам персональных данных направляются на адрес электронной почты, указанный в п. 2.1. Оператор вправе запросить сведения, необходимые для идентификации заявителя и защиты данных от несанкционированного доступа третьих лиц.

3. Категории субъектов и источники данных

3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• пользователи сервиса — лица, создающие аккаунт и (или) использующие веб-кабинет DeskLink;
• приглашённые лица — адресаты приглашений к совместному доступу (если пользователь указывает их адрес электронной почты);
• плательщики — лица, оформляющие оплату тарифа DeskLink Pro (как правило, совпадают с пользователем аккаунта).

3.2. Персональные данные поступают:

• непосредственно от субъекта (формы входа, настройки, оплата, обращения в поддержку);
• автоматически при использовании сервиса (технические журналы, cookie, IP-адрес, User-Agent);
• от другого пользователя — при указании e-mail третьего лица в приглашении к доступу (в объёме, необходимом для направления приглашения).

3.3. Сервис не предназначен для обработки специальных категорий персональных данных (ст. 10 152-ФЗ) и биометрических персональных данных (ст. 11 152-ФЗ). Пользователь обязуется не загружать и не передавать такие данные через сервис без отдельного законного основания и отдельного согласования с оператором.

4. Состав обрабатываемых персональных данных

4.1. В зависимости от функций, которыми пользуется субъект, могут обрабатываться:

• идентификационные и контактные данные — адрес электронной почты; внутренний идентификатор аккаунта;
• данные аутентификации — одноразовые коды входа; сведения о подтверждении входа; cookie сессии и аутентификации;
• технические данные — IP-адрес, User-Agent, время и тип действий в журналах аудита, служебные диагностические сведения, необходимые для безопасности и поддержки;
• данные использования сервиса — сохранённые подключения и их параметры, сведения о сессиях удалённого доступа (в т.ч. Screen View / browser viewer), коды привязки устройств, уровни доступа к папкам, сообщения чата сеанса (имя отправителя, текст, идентификаторы);
• платёжные сведения — выбранный тариф, сумма, период, статус оплаты, идентификаторы платежа и служебные метаданные расчётов. Реквизиты банковской карты оператором не хранятся — оплату обрабатывает платёжный сервис ЮKassa;
• данные обращений — содержание переписки с поддержкой и запросов субъекта персональных данных.

4.2. Оператор руководствуется принципами законности, ограничения обработки достижением конкретных целей, достоверности и достаточности данных, а также недопустимости избыточности (ст. 5 152-ФЗ).

5. Цели и правовые основания обработки

5.1. Обработка осуществляется на правовых основаниях, предусмотренных ч. 1 ст. 6 152-ФЗ, в том числе:

• п. 5 ч. 1 ст. 6 — исполнение договора, стороной которого является субъект, либо заключение договора по инициативе субъекта (предоставление доступа к сервису, поддержка, расчёты);
• п. 2 ч. 1 ст. 6 — исполнение обязанностей оператора, установленных законодательством РФ (в т.ч. хранение фискальных и иных обязательных сведений);
• п. 7 ч. 1 ст. 6 — законные интересы оператора (обеспечение безопасности сервиса, предотвращение злоупотреблений, защита прав оператора и других пользователей), если при этом не нарушаются права и свободы субъекта;
• п. 1 ч. 1 ст. 6 — согласие субъекта, если оно требуется и получено в установленном порядке.

5.2. Оператор не использует персональные данные для продвижения товаров, работ и услуг средствами связи без предварительного согласия субъекта (ст. 15 152-ФЗ, ст. 18 Федерального закона «О рекламе»). Сервисные письма (код входа, приглашение, уведомления об оплате/доступе) направляются для исполнения договора и обеспечения безопасности входа.

5.3. Автоматизированные решения, порождающие юридические последствия для субъекта или иным образом существенно затрагивающие его права (ст. 16 152-ФЗ), оператором не принимаются.

6. Действия (операции) с персональными данными

6.1. Оператор совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение — в объёме, необходимом для целей, указанных в разделе 5.

6.2. Обработка осуществляется преимущественно с использованием средств автоматизации (серверы, базы данных, программное обеспечение сервиса).

7. Cookies и аналогичные технологии

7.1. Сервис использует строго необходимые cookie и иные средства, без которых вход и безопасная работа кабинета невозможны:

• DeskLink.WebPortal.Session — cookie сеанса (в т.ч. для CAPTCHA и защиты форм); HttpOnly; SameSite=Lax;
• DeskLink.WebPortal.Auth — cookie аутентификации после успешного входа; срок — до 30 календарных дней (может изменяться настройками оператора); HttpOnly.

7.2. Рекламные, аналитические и иные необязательные трекеры третьих лиц в текущей версии сервиса не подключаются. При их внедрении оператор обновит Политику и, если потребуется, запросит согласие и (или) предоставит механизм выбора до запуска необязательных скриптов.

7.3. Отключение cookie в браузере может сделать вход и использование кабинета невозможными.

8. Передача персональных данных третьим лицам. Поручение обработки

8.1. Оператор не продаёт персональные данные. Передача допускается:

• лицам, которым данные необходимы для исполнения договора с субъектом (например, платёжный провайдер при оплате);
• лицам, обрабатывающим данные по поручению оператора (ч. 3 ст. 6 152-ФЗ), на основании договора, определяющего перечень данных, цели, меры защиты и обязанности порученца;
• по требованию суда, государственных органов в случаях и порядке, предусмотренных законодательством РФ.

8.2. Электронная почта оператора. Сервисные письма (код входа, приглашения, уведомления) отправляются с почты оператора (домен cerio.ru) через почтовый сервер, который оператор использует для своей корреспонденции. Это не отдельная «рассылочная» платформа и не передача данных стороннему маркетинговому сервису: адрес получателя и текст письма обрабатываются в рамках доставки сообщения от оператора к пользователю (и, при необходимости, через стандартную инфраструктуру доставки e-mail на стороне почтовых систем получателя).

8.3. К иным категориям получателей (порученцев / инфраструктурных партнёров) относятся:

• платёжный сервис ЮKassa (и её подрядчики) — приём платежей, антифрод, формирование и передача фискальных чеков (при подключении соответствующей схемы);
• хостинг, VPS, сетевые и сопутствующие инфраструктурные подрядчики — размещение и эксплуатация серверов, сетей, резервного копирования в объёме, необходимом для работы сервиса.

8.4. При поручении обработки оператор требует от порученца соблюдения конфиденциальности и безопасности персональных данных, а также соблюдения применимых требований к локализации (при наличии).

9. Локализация и трансграничная передача

9.1. При сборе персональных данных граждан Российской Федерации оператор обеспечивает соблюдение ч. 5 ст. 18 152-ФЗ: запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан РФ с использованием баз данных, находящихся на территории Российской Федерации (за исключением случаев, прямо предусмотренных законом).

9.2. Трансграничная передача персональных данных (п. 11 ст. 3 152-ФЗ) — передача на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу — осуществляется только при наличии правового основания и с соблюдением порядка ст. 12 152-ФЗ (включая уведомление уполномоченного органа в установленных случаях).

9.3. Если отдельный подрядчик или маршрут доставки (например, международный сегмент почтовой/платёжной инфраструктуры) потребует трансграничной передачи, оператор выполняет предусмотренные законом процедуры до начала такой передачи и при необходимости обновляет Политику.

10. Сроки хранения и уничтожение

10.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом, договором либо согласием субъекта.

• рабочие данные аккаунта и связанные журналы при подтверждённом удалении аккаунта (либо по законному требованию субъекта, когда отсутствуют иные основания хранения) очищаются или обезличиваются не позднее 90 дней;
• одноразовые коды входа хранятся ограниченное время, необходимое для входа, и затем утрачивают силу / удаляются;
• сообщения чата Screen View хранятся в операционном объёме (в сервисе применяется ежедневная очистка истории, за исключением текущего операционного периода);
• сведения о платежах, акцепте условий и иные данные, необходимые для исполнения обязанностей по бухгалтерскому, налоговому и (или) фискальному учёту, хранятся в сроки, установленные законодательством РФ, даже после удаления аккаунта, если закон требует их сохранения.

10.2. По достижении целей обработки, при отзыве согласия (если обработка велась на основании согласия и отсутствуют иные основания) либо по иным основаниям ст. 21 152-ФЗ оператор прекращает обработку и уничтожает либо обезличивает данные в сроки, установленные законом, с учётом исключений (исполнение договора, обязанности по закону, судебная защита и т.п.).

11. Меры по защите персональных данных

11.1. Оператор принимает правовые, организационные и технические меры, необходимые для выполнения обязанностей, предусмотренных 152-ФЗ (ст. 18.1, 19), в том числе:

• ограничение доступа к данным по принципу необходимости для исполнения функций;
• использование защищённых каналов (HTTPS) для веб-кабинета;
• аутентификация пользователей; контроль сессий;
• журналирование значимых действий в объёме, необходимом для безопасности и разбора инцидентов;
• договорные обязательства порученцев по конфиденциальности и защите данных.

11.2. Абсолютная безопасность передачи данных в сети Интернет не может быть гарантирована. Субъект обязан обеспечивать сохранность доступа к своему адресу электронной почты и устройствам.

12. Права субъекта персональных данных

12.1. Субъект персональных данных имеет права, предусмотренные 152-ФЗ, в том числе:

• получить сведения об обработке своих персональных данных (ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели (ст. 14, 21 152-ФЗ);
• отозвать согласие на обработку, если обработка осуществлялась на основании согласия (ст. 9 152-ФЗ), — с сохранением возможности обработки на иных законных основаниях;
• обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

12.2. Для реализации прав направьте запрос на support@cerio.ru с адреса, связанного с аккаунтом, либо укажите e-mail аккаунта и приложите сведения, позволяющие идентифицировать заявителя. В запросе укажите существо требования.

12.3. Срок ответа на запрос о предоставлении сведений, предусмотренных ст. 14 152-ФЗ, — 10 рабочих дней с момента получения обращения оператором (ст. 20 152-ФЗ); срок может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления. Иные сроки, установленные ст. 21 152-ФЗ (блокирование, уничтожение и т.п.), применяются в случаях, предусмотренных законом.

12.4. Оператор вправе отказать в удовлетворении требования полностью или частично, если это допускается 152-ФЗ (например, при наличии иных законных оснований обработки либо если требование не позволяет однозначно идентифицировать субъекта).

13. Изменение Политики

13.1. Оператор вправе обновлять Политику. Актуальная редакция публикуется по постоянному адресу /legal/privacy с указанием версии и даты вступления в силу.

13.2. Продолжение использования сервиса после вступления в силу новой редакции означает ознакомление с ней, если иное не требуется законом (например, получение нового согласия). Существенные изменения, затрагивающие основания обработки, доводятся до сведения пользователей разумным способом (в т.ч. через интерфейс сервиса и (или) e-mail).