Политика обработки персональных данных

Кратко о главном

Сервис «ЭТОЧАТБОТ» работает на территории Российской Федерации в строгом соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»). Оператор включён в Реестр операторов, осуществляющих обработку персональных данных, под регистрационным номером 16-25-027399 (запись в Реестре Роскомнадзора).

Мы собираем минимум данных, необходимых для оказания услуг, не передаём их в рекламные сети, не продаём третьим лицам и не используем для целей, не связанных с работой сервиса.

1. Термины и определения

• Оператор — Индивидуальный предприниматель Киселев Дмитрий Юрьевич, ИНН 165720128759, ОГРНИП 323169000141965 (полные реквизиты — на странице «Реквизиты»).
• Сервис — программно-аппаратный комплекс «ЭТОЧАТБОТ», доступный по адресу https://etochat.bot и через личный кабинет /panel.
• Пользователь — физическое или юридическое лицо, индивидуальный предприниматель, который зарегистрировался в сервисе.
• Конечный клиент — третье лицо, обратившееся в подключённый Пользователем чат-бот.
• Персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (ст. 3 п. 1 152-ФЗ).
• Обработка ПД — любое действие или совокупность действий с ПД, перечисленные в п. 3 ст. 3 152-ФЗ.

2. Правовые основания обработки

Оператор обрабатывает ПД в следующих правовых основаниях, предусмотренных ч. 1 ст. 6 152-ФЗ:

• Согласие субъекта (п. 1) — при регистрации в сервисе (см. Согласие на обработку ПД).
• Исполнение договора (п. 5) — оказание услуг сервиса по Публичной оферте.
• Законные интересы (п. 7) — обеспечение работоспособности и безопасности сервиса (журналы доступа, антифрод).
• Исполнение обязанностей, возложенных законом (п. 2) — ведение бухгалтерского и налогового учёта (НК РФ), ответы на законные запросы государственных органов.

3. Категории субъектов и состав обрабатываемых данных

3.1. Пользователи сервиса

• ФИО (если указаны при регистрации или в настройках профиля).
• Адрес электронной почты, номер мобильного телефона (опционально).
• Хеш пароля (без возможности восстановления исходного пароля).
• Реквизиты юридического лица или ИП — при оформлении договора.
• Сведения об использовании сервиса: дата/время действий, IP-адрес, тип браузера, идентификатор сессии.
• Платёжные данные в ограниченном объёме: тип карты, последние 4 цифры. Полные реквизиты карты Оператор не получает и не хранит.
• Ключи и токены подключённых ботов — хранятся в базе сервиса; доступ к ней ограничен, наружу токены не отдаются. При удалении канала токен удаляется вместе с ним.

3.2. Конечные клиенты Пользователей

Когда конечный клиент пишет в бот Пользователя, его данные поступают в Сервис. Оператор обрабатывает следующие данные конечных клиентов:

• Идентификатор пользователя в соответствующем чат-канале.
• Имя пользователя, отображаемое имя, фотография профиля — если переданы каналом.
• Содержимое и медиа сообщений, направленных в бот.
• Метаданные сообщений: время, статус доставки, идентификаторы.

В этой части обработки Оператор действует в качестве лица, осуществляющего обработку по поручению Пользователя (ст. 6 ч. 3 152-ФЗ). Условия такого поручения детализированы в Соглашении об обработке данных (DPA). Пользователь самостоятельно отвечает за правомерность сбора данных конечных клиентов и наличие у них правовых оснований обработки.

3.3. Обращения в поддержку

При обращении в службу поддержки Оператор обрабатывает email или контакт Пользователя, текст обращения и приложенные файлы — исключительно для решения вопроса.

4. Цели обработки

• Регистрация и идентификация Пользователя в сервисе, предоставление доступа к функционалу.
• Оказание услуг согласно Пользовательскому соглашению и Публичной оферте.
• Обмен сообщениями между Пользователем и его конечными клиентами.
• Расчёты, выставление счетов, формирование закрывающих документов, налоговый учёт.
• Информирование Пользователя о статусе сервиса, изменениях тарифа, плановых работах.
• Поддержка Пользователя по вопросам использования сервиса.
• Обеспечение информационной безопасности (журналы, защита от злоупотреблений).
• Анализ работы сервиса в обезличенном виде для улучшения продукта.
• Исполнение требований законодательства РФ.

5. Принципы обработки (ст. 5 152-ФЗ)

• Законность и справедливость: обработка ведётся только на законных основаниях.
• Ограничение целями: ПД обрабатываются только в объявленных в настоящей Политике целях.
• Минимизация: объём обрабатываемых ПД соответствует целям обработки.
• Точность: Оператор поддерживает достоверность данных, по запросу субъекта вносит уточнения.
• Хранение не дольше, чем необходимо: сроки хранения определены в разделе 9.
• Безопасность: применяются технические и организационные меры защиты (раздел 8 и Меры безопасности).

6. Способы обработки и локализация

Обработка ПД осуществляется как с использованием средств автоматизации (на серверной инфраструктуре в дата-центрах на территории Российской Федерации, в соответствии с ч. 5 ст. 18 152-ФЗ), так и без них — при ручном вводе данных в интерфейс или их распечатке.

Локализация: первичный сбор и последующее хранение ПД граждан Российской Федерации осуществляются исключительно в базах данных, расположенных в РФ.

7. Передача данных третьим лицам

Оператор передаёт ПД третьим лицам только в следующих случаях:

• Банку-эквайеру / платёжному агрегатору — для проведения платежей. Передаются: ФИО плательщика (при оплате юрлицом), email, сумма, номер заказа.
• Хостинг-провайдеру (РФ) — для размещения серверной инфраструктуры. Хостер связан соглашением о конфиденциальности и не имеет доступа к содержимому БД.
• Государственным органам РФ — по их законному запросу (Роскомнадзор, ФНС, МВД, суды).
• Аудиторам и консультантам — под соглашением о неразглашении (NDA), при необходимости проверки соответствия.
• Веб-аналитика — «Яндекс.Метрика» (ООО «ЯНДЕКС») — статистика посещаемости публичного сайта. Яндекс обрабатывает данные посетителя (адреса страниц, реферер, IP-адрес, карту кликов, записи сессий) на серверах на территории РФ; запись сессий (Вебвизор) отключена на страницах, где отображаются персональные данные или платёжная информация. Подробнее — в Политике использования cookies.

Оператор не передаёт ПД в рекламные сети, маркетинговые агентства, не продаёт третьим лицам, не использует для построения рекламных профилей.

8. Обеспечение безопасности данных

В соответствии со ст. 19 152-ФЗ и требованиями Постановления Правительства РФ от 01.11.2012 № 1119 (определение уровней защищённости персональных данных) Оператор применяет следующие меры:

• Технические меры: TLS 1.2+ для всех соединений; криптографическое хеширование пользовательских паролей; разграничение доступа к базе; сегментация сетей; межсетевые экраны; антивирусная защита; регулярные обновления системного и прикладного ПО.
• Организационные меры: ограничение круга лиц, имеющих доступ к ПД; индивидуальные учётные записи; ведение журналов доступа; обучение сотрудников; политика использования съёмных носителей.
• Резервное копирование: копии базы снимаются несколько раз в сутки и передаются во внешние хранилища по защищённому каналу (см. раздел 9).
• Реагирование на инциденты: процедура уведомления Роскомнадзора в течение 24 часов и субъектов — в течение 72 часов в случае утечки ПД (ч. 3.1 ст. 21 152-ФЗ).

Уточнение: в смысле записи Оператора в реестре Роскомнадзора сертифицированные шифровальные (криптографические) средства (СКЗИ) не применяются. Перечисленные меры опираются на штатную защиту канала связи (TLS), одностороннее хеширование паролей и разграничение доступа.

Подробнее — на странице «Меры безопасности».

9. Сроки хранения

Сервис не стирает данные по расписанию: они хранятся, пока существует канал или аккаунт, и удаляются действием — вашим или нашим. Единственное исключение названо ниже отдельно.

• Аккаунт Пользователя — весь период использования сервиса. Удаляется по вашему запросу (см. «Удаление данных»); автоматического удаления по сроку нет.
• Сообщения и медиа в диалогах — пока существует канал, к которому они относятся. Когда вы удаляете канал в личном кабинете, переписка удаляется сразу и необратимо. Отключение канала само по себе (отзыв доступа, неактивный бот) данные не удаляет: в этом случае их удаляет человек в течение 30 календарных дней. Не хотите ждать — напишите нам (см. «Удаление данных»).
• Фотографии, присланные посетителями онлайн-чата на сайте — 90 дней, затем удаляются автоматически. Это единственная автоматическая чистка по сроку в сервисе.
• Платёжные документы и первичная бухгалтерия — 5 лет (ст. 29 ФЗ «О бухгалтерском учёте», п. 317 Перечня типовых архивных документов, утв. Приказом Росархива № 236).
• Журналы безопасности — технические журналы сервера ротируются ежедневно и хранятся около двух недель. Служебные записи в базе (журнал срабатываний правил, обращения к API) отдельного срока не имеют и удаляются вместе с каналом или аккаунтом. Одно исключение: журнал доставки событий партнёрам удалением канала сегодня не затрагивается — подробности в «Удалении данных».
• Согласия на обработку ПД и их отзывы — 5 лет с момента получения / отзыва.
• Резервные копии БД — снимаются несколько раз в сутки и живут своим сроком на стороне хранилища. Ради запроса на удаление копии не восстанавливаются, и удалённые данные из них в сервис не возвращаются.

10. Права субъектов персональных данных

В соответствии со ст. 14 152-ФЗ субъект ПД имеет право:

1. Получить подтверждение факта обработки своих ПД, сведений об операторе, целях, способах и сроках обработки, перечне обрабатываемых ПД и источнике их получения.
2. Получить копию обрабатываемых ПД (с учётом ограничений ст. 14 ч. 8 152-ФЗ).
3. Требовать уточнения, блокирования или уничтожения ПД, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
4. Отозвать согласие на обработку ПД (ст. 9 ч. 2 152-ФЗ). После отзыва Оператор прекращает обработку или уничтожает ПД, кроме случаев, предусмотренных ч. 5 ст. 21 152-ФЗ (например, налоговые документы).
5. Обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

Запросы направляйте на info@etochat.bot с темой «Запрос по персональным данным». Срок ответа: 10 рабочих дней для уточнения сведений и 30 календарных дней для предоставления копии ПД (ст. 20 ч. 1, 2 152-ФЗ). Оператор вправе запросить документы, удостоверяющие личность субъекта, для подтверждения правомерности запроса.

Часть данных вы удаляете сами: канал вместе со всей его перепиской удаляется в личном кабинете, сразу и необратимо. Аккаунт целиком удаляется по письменному запросу. Порядок и сроки — в документе «Удаление данных».

11. Файлы cookies и аналогичные технологии

Сервис использует cookies и аналоги (localStorage) для технической работы (сессии, авторизация, настройки интерфейса) и для аналитики посещаемости через «Яндекс.Метрику» (ООО «ЯНДЕКС»; серверы в РФ, без трансграничной передачи; запись сессий отключена на страницах с персональными данными). Подробнее — в Политике использования cookies.

12. Несовершеннолетние

Сервис не предназначен для использования лицами младше 18 лет. Подробнее — на странице «Политика для несовершеннолетних».

13. Изменения политики

Оператор вправе вносить изменения в настоящую Политику. Существенные изменения публикуются за 14 календарных дней до вступления в силу с уведомлением Пользователей по email и в личном кабинете. Текущая редакция всегда доступна по адресу /privacy; дата редакции указана в шапке документа.

14. Контактная информация

По всем вопросам, связанным с обработкой персональных данных, обращайтесь к Оператору:

• Email: info@etochat.bot (тема: «Запрос по персональным данным»).
• Почтовый адрес: 420126, г. Казань, ул. Четаева, д. 25.
• Полные реквизиты — на странице /requisites.

Адрес уполномоченного органа: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), https://rkn.gov.ru.