1. Общие положения
Настоящая Политика обработки персональных данных и конфиденциальности, далее "Политика", разработана с учётом Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных", Федерального закона от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации", иных применимых нормативных правовых актов Российской Федерации, договоров и поручений на обработку персональных данных.
Политика применяется к обработке персональных данных, которую Индивидуальный предприниматель Гаврилов Андрей Михайлович осуществляет как самостоятельный оператор, а также, в предусмотренных договором случаях, как лицо, обрабатывающее персональные данные по поручению клиента-оператора.
2. Сведения об операторе
3. Область действия и роли при обработке данных
Политика распространяется на данные, получаемые:
- при посещении сайта Оператора и использовании веб-форм;
- при скачивании, запуске и использовании AMG_Support;
- при обращении по телефону, электронной почте или через иные каналы поддержки;
- в ходе согласованного удалённого сеанса;
- при добровольной передаче файлов, снимков экрана, журналов ошибок и диагностических материалов;
- при заключении и исполнении договора на разовое или абонентское IT-обслуживание.
3.1. Когда A M G является оператором
A M G самостоятельно определяет цели и состав обработки при получении заявок, взаимодействии с заказчиками, заключении и исполнении договоров, ведении обязательного учёта, защите сайта и инфраструктуры, а также хранении журналов безопасности.
3.2. Когда A M G действует по поручению клиента
Если во время обслуживания информационных систем клиента специалист получает доступ к персональным данным сотрудников, клиентов, контрагентов или иных лиц, A M G обрабатывает такие данные по документированному поручению клиента-оператора и только для выполнения согласованной технической задачи. Условия поручения, перечень данных и операций, цели, требования конфиденциальности, безопасности, удаления и уведомления об инцидентах закрепляются в договоре или приложении к нему.
Клиент обеспечивает наличие законных оснований для предоставления доступа к своей информационной системе. A M G, со своей стороны, соблюдает ограничения поручения, конфиденциальность и применимые требования безопасности.
4. Категории субъектов и обрабатываемых данных
4.1. Категории субъектов персональных данных
- посетители сайта;
- лица, направившие заявку или запрос на консультацию;
- заказчики-физические лица и индивидуальные предприниматели;
- работники и представители корпоративных клиентов;
- пользователи обслуживаемых устройств и информационных систем;
- третьи лица, сведения о которых могут находиться в системах клиента и случайно стать доступными при удалённом сеансе.
4.2. Данные, предоставляемые субъектом или клиентом
- фамилия, имя, отчество, должность и наименование организации;
- номер телефона, адрес электронной почты и предпочтительный способ связи;
- содержание заявки, описание неисправности и история взаимодействия;
- договорные, платёжные и учётные сведения, необходимые для оформления счетов, актов и иных документов;
- файлы, изображения экрана и иные материалы, добровольно переданные для диагностики.
4.3. Технические данные
- IP-адрес, сетевые идентификаторы устройства и сессии;
- сведения об операционной системе, оборудовании и версиях программного обеспечения;
- дата, время, продолжительность, статус и технические параметры подключения;
- журналы событий, коды ошибок и сведения, необходимые для диагностики и защиты инфраструктуры;
- данные браузера, user-agent, адрес запрошенной страницы и иные сведения серверных журналов.
4.4. Данные, доступные во время удалённого сеанса
В зависимости от предоставленных разрешений специалист может видеть изображение экрана, управлять курсором и клавиатурой, запускать программы, изменять настройки, использовать буфер обмена и передавать файлы. Доступ ограничивается целью сеанса и не означает целенаправленного сбора всего содержимого устройства.
5. Цели и правовые основания обработки
| Цель | Субъекты и основные данные | Правовое основание |
|---|---|---|
| Ответ на обращение, подготовка консультации или предложения | Заявители: имя, контакты, организация, содержание запроса | Действия по запросу субъекта до заключения договора; отдельное согласие, когда оно требуется |
| Заключение и исполнение договора, расчёты и документооборот | Клиенты и их представители: контактные, договорные и учётные сведения | Заключение и исполнение договора; исполнение обязанностей, установленных законом |
| Диагностика, настройка, обновление и восстановление устройства | Пользователи устройств: контакты, технические данные, сведения, необходимые для выполнения заявки | Договор, согласованная заявка, отдельное согласие либо поручение клиента-оператора |
| Обеспечение безопасности, журналирование и расследование инцидентов | Пользователи и специалисты: IP-адреса, идентификаторы, параметры и события подключения | Исполнение договора; осуществление прав и законных интересов Оператора и клиентов при условии соблюдения прав субъекта |
| Бухгалтерский, налоговый и иной обязательный учёт | Клиенты и представители: сведения договоров, счетов, актов и платежей | Исполнение обязанностей, возложенных законодательством Российской Федерации |
| Информационные и рекламные сообщения | Получатели рассылки: имя и контактные данные | Только отдельное предварительное согласие, которое можно отозвать |
Обработка несовместимая с указанными целями не допускается. Состав данных ограничивается сведениями, необходимыми и достаточными для соответствующей цели.
6. Операции и способы обработки
Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, обновление, изменение, извлечение, использование, передачу в форме предоставления или доступа, обезличивание, блокирование, удаление и уничтожение персональных данных.
Обработка осуществляется автоматизированным, неавтоматизированным и смешанным способами, с передачей по информационно-телекоммуникационным сетям или без неё. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки.
7. Порядок проведения удалённого сеанса
- Пользователь получает AMG_Support с официального ресурса A M G и проверяет контакт специалиста.
- До подключения стороны согласовывают цель, предполагаемые действия и при необходимости перечень передаваемых файлов.
- Сеанс инициируется добровольным действием пользователя либо проводится в рамках договора и документированного поручения клиента.
- Специалист выполняет только действия, связанные с заявленной задачей, и по возможности комментирует существенные операции.
- Пользователь может наблюдать за сеансом, ограничить действия специалиста или потребовать немедленного прекращения подключения.
- Постоянный, скрытый или неконтролируемый доступ не включается без отдельного согласования, документированного основания и необходимых мер безопасности.
До начала сеанса пользователю рекомендуется закрыть личную переписку, банковские кабинеты, медицинские документы, пароли и иные материалы, не относящиеся к заявке. Пароли, коды из SMS и реквизиты банковских карт не следует сообщать специалисту.
8. Обработка данных на сайте и cookies
При обращении к сайту сервер может автоматически получать IP-адрес, дату и время запроса, адрес страницы, сведения о браузере и устройстве, а также технические cookie-файлы, необходимые для работы и защиты сайта.
Необязательные аналитические, статистические или рекламные cookie-файлы и аналогичные технологии применяются только после предоставления пользователем отдельного выбора, когда такой выбор требуется законодательством. Пользователь может изменить настройки браузера и удалить сохранённые cookies, однако это способно повлиять на работу отдельных функций сайта.
Данные веб-формы используются только для обработки обращения, подготовки ответа, заключения и исполнения договора. Отправка формы не должна одновременно считаться согласием на иные цели, включая рекламу или рассылки.
9. Передача данных, третьи лица и локализация
Оператор не продаёт персональные данные и не предоставляет их для самостоятельного маркетинга третьих лиц.
Доступ или передача в минимально необходимом объёме возможны:
- сотрудникам и исполнителям, допущенным к работам и связанным обязательствами конфиденциальности;
- провайдерам российского хостинга, дата-центров, связи, электронной почты и технической инфраструктуры;
- поставщикам программных компонентов удалённого доступа, если их участие необходимо для исполнения заявки;
- бухгалтерским и иным профессиональным исполнителям в объёме, необходимом для выполнения договора и требований закона;
- государственным органам и судам в случаях и порядке, предусмотренных законодательством;
- иным лицам при наличии отдельного законного основания.
9.1. Обработка по поручению
При передаче обработки другому лицу Оператор определяет перечень данных, операции, цели, требования конфиденциальности и безопасности, обязанность соблюдать локализацию, предоставлять подтверждающие документы, уведомлять об инцидентах и прекращать обработку после выполнения поручения.
9.2. Локализация
При сборе персональных данных граждан Российской Федерации через интернет первичная запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации.
9.3. Трансграничная передача
На дату публикации настоящей редакции трансграничная передача персональных данных не предусмотрена. До начала такой передачи Оператор выполнит установленные законодательством требования, оценит условия защиты данных в соответствующей стране, направит необходимое уведомление уполномоченному органу и обновит настоящую Политику.
10. Сроки обработки, хранения и уничтожения
| Категория | Срок или критерий |
|---|---|
| Заявки, не завершившиеся заключением договора | До 12 месяцев с даты последнего взаимодействия, если более длительное хранение не требуется для защиты прав или исполнения закона |
| Договоры, счета, акты и обязательные учётные документы | В течение срока действия договора и не менее установленного законодательством срока хранения, как правило, 5 лет после отчётного периода или завершения отношений |
| Технические журналы, IP-адреса и сведения о сессиях | До 12 месяцев после завершения сессии, если иной срок не требуется для расследования инцидента или разрешения спора |
| Диагностические файлы, снимки экрана и иные материалы | До закрытия заявки и не более 30 календарных дней после закрытия, если договор, спор или закон не требуют иного |
| Данные, обрабатываемые по поручению клиента | В течение срока и на условиях поручения; после его завершения данные удаляются, уничтожаются или возвращаются клиенту |
| Данные на основании согласия | До достижения цели, окончания срока согласия или его отзыва; при отсутствии другого законного основания обработка прекращается и данные уничтожаются в установленный законом срок |
По достижении целей или при утрате правового основания данные удаляются, уничтожаются или обезличиваются. Если немедленное удаление из резервных копий технически невозможно, такие данные изолируются от обычного использования и удаляются в пределах установленного цикла резервного копирования.
11. Меры защиты персональных данных
С учётом характера и объёма обработки Оператор применяет, в частности:
- назначение ответственного за организацию обработки персональных данных;
- локальные акты, инструкции, учёт информационных систем и допущенных лиц;
- разграничение прав доступа, индивидуальные учётные записи и аутентификацию;
- защиту каналов связи и серверной инфраструктуры доступными средствами;
- регистрацию подключений и событий информационной безопасности;
- обновление программного обеспечения и устранение выявленных уязвимостей;
- резервное копирование критичных данных и контроль восстановления;
- обязательства работников и подрядчиков о конфиденциальности;
- оценку рисков, внутренний контроль и реагирование на инциденты;
- уведомление уполномоченного органа об инцидентах в случаях и сроки, установленные законом.
Абсолютная безопасность передачи через интернет не может быть гарантирована. Пользователю рекомендуется скачивать программу только с официального ресурса, проверять личность специалиста и немедленно прекращать подключение при подозрительных действиях.
12. Права субъекта и порядок обращения
Субъект персональных данных вправе:
- получать сведения об обработке своих персональных данных;
- требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или ненужных данных;
- отозвать согласие, если обработка основана на согласии;
- требовать прекращения обработки при наличии предусмотренных законом оснований;
- возражать против действий во время удалённого сеанса и потребовать немедленного прекращения подключения;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в суд.
Обращение направляется по контактам из раздела 15 и должно позволять идентифицировать заявителя и относящиеся к нему данные. Оператор вправе запросить разумное подтверждение личности, не требуя избыточных сведений.
Ответ на запрос предоставляется в течение 10 рабочих дней с даты его получения. Этот срок может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления. Подтверждённо неточные данные уточняются, а незаконно обрабатываемые данные блокируются или уничтожаются в сроки, предусмотренные законодательством.
Отзыв согласия не влияет на законность обработки, выполненной до его получения. При наличии другого правового основания Оператор вправе продолжить обработку в пределах такого основания.
13. Специальные категории и биометрические данные
Оператор не ставит целью обработку сведений о здоровье, расовой или национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни, а также биометрических данных, используемых для установления личности.
Если такие сведения случайно становятся видимыми во время удалённого сеанса, специалист прекращает не относящийся к задаче просмотр, не фиксирует и не использует сведения и при необходимости просит пользователя закрыть соответствующие материалы. Целенаправленная обработка допускается только при наличии специального правового основания и дополнительных мер защиты.
14. Изменение Политики
Оператор обновляет Политику при изменении законодательства, состава данных, инфраструктуры, функциональности AMG_Support или порядка оказания услуг. Новая редакция вступает в силу с даты публикации, если в ней не установлен более поздний срок.
Актуальная редакция размещается по постоянному адресу https://amg-bz.com/privacy.html. Предыдущие редакции могут храниться Оператором для подтверждения условий, действовавших в соответствующий период.
15. Контакты по вопросам персональных данных
Запросы, требования, отзывы согласия и сообщения об инцидентах можно направлять с темой "Персональные данные / AMG_Support".