Политика конфиденциальности и обработки персональных данных

1. Общие положения

1.1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных физических лиц, использующих сайт wesetup.ru и связанные с ним сервисы.

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ»), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», а также иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

1.3. Оператором персональных данных является Общество с ограниченной ответственностью «БФС» (далее — «Оператор», «Компания», «мы»), ИНН 5018215599, ОГРН 1235000105306, адрес: 141065, Московская область, г. Королёв, ул. Ленина, д. 10/6.

1.4. Политика распространяется на все персональные данные, которые Оператор получает от пользователей при использовании сайта wesetup.ru, веб-приложения WeSetup и Telegram Mini App через бота @wesetupbot.

1.5. Настоящая Политика является общедоступным документом и размещена в открытом доступе на сайте wesetup.ru.

1.6. Использование Сервисов означает согласие Пользователя с настоящей Политикой и указанными в ней условиями обработки персональных данных. В случае несогласия с условиями Политики Пользователь обязан прекратить использование Сервисов.

2. Термины и определения

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

2.3. Оператор — ООО «БФС», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав обрабатываемых персональных данных и совершаемые с ними действия.

2.4. Пользователь — физическое лицо, использующее Сервисы Оператора: посетитель сайта, зарегистрированный пользователь веб-приложения, пользователь Telegram Mini App.

2.5. Клиент — юридическое лицо или индивидуальный предприниматель, заключивший с Оператором договор на использование Сервисов и создавший организацию (аккаунт) в системе WeSetup.

2.6. Сервисы — сайт wesetup.ru, веб-приложение WeSetup (электронные журналы СанПиН/ХАССП для предприятий общественного питания и пищевого производства), а также Telegram Mini App, доступный через бота @wesetupbot.

2.7. Cookies — небольшие текстовые файлы, размещаемые сайтом в браузере Пользователя и хранящие данные о сессии и настройках.

2.8. Электронные журналы — учётные документы (записи), формируемые Клиентом и его сотрудниками в Сервисах в целях соблюдения требований санитарного законодательства и принципов ХАССП.

3. Правовые основания обработки персональных данных

3.1. Оператор обрабатывает персональные данные на следующих правовых основаниях:

• согласие субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ), выражаемое при регистрации, оформлении подписки или ином использовании Сервисов;
• исполнение договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ);
• поручение обработки персональных данных Оператору со стороны Клиента как оператора персональных данных своих работников (ч. 3 ст. 6 152-ФЗ);
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе налоговым и бухгалтерским законодательством (п. 2 ч. 1 ст. 6 152-ФЗ);
• осуществление прав и законных интересов Оператора при условии, что не нарушаются права и свободы субъекта персональных данных (п. 7 ч. 1 ст. 6 152-ФЗ).

3.2. Обработка персональных данных, разрешённых субъектом для распространения, Оператором не осуществляется.

4. Цели обработки персональных данных

4.1. Оператор обрабатывает персональные данные исключительно в следующих целях:

4.1.1. Регистрация и идентификация Пользователя в Сервисах, предоставление доступа к личному кабинету и функциям веб-приложения.

4.1.2. Заключение, исполнение и прекращение договора на предоставление доступа к Сервисам, включая оформление подписки и продление её срока.

4.1.3. Ведение электронных журналов СанПиН/ХАССП по поручению Клиента, включая формирование, хранение, отображение и выгрузку записей журналов.

4.1.4. Обеспечение работы Telegram Mini App: авторизация Пользователя, отправка уведомлений о задачах и напоминаний.

4.1.5. Обработка платежей за использование Сервисов, включая учёт факта, суммы и периода оплаты, формирование закрывающих документов.

4.1.6. Техническая поддержка Пользователей и Клиентов, ответы на обращения, направленные на support@wesetup.ru.

4.1.7. Улучшение качества работы Сервисов, анализ пользовательского поведения в обезличенном или агрегированном виде, устранение технических ошибок и обеспечение информационной безопасности.

4.1.8. Информирование Пользователей об изменениях в Сервисах, тарифах, условиях обслуживания и настоящей Политике.

4.1.9. Исполнение требований законодательства Российской Федерации, включая ведение бухгалтерского и налогового учёта.

4.2. Оператор не использует персональные данные для целей, несовместимых с указанными выше, и не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки персональных данных.

5. Перечень обрабатываемых персональных данных

5.1. Учётные данные Пользователя: фамилия, имя, отчество; адрес электронной почты; номер мобильного телефона; должность и роль в организации; пароль (хранится исключительно в виде необратимого криптографического хэша, Оператору пароль в открытом виде недоступен).

5.2. Данные организации-клиента: наименование юридического лица или индивидуального предпринимателя, ИНН, юридический и фактический адрес, банковские и иные реквизиты, контактные данные ответственных лиц.

5.3. Записи электронных журналов, которые могут содержать: фамилии, имена и отчества сотрудников Клиента; отметки о состоянии здоровья и гигиене (в том числе результаты осмотров, отметки о допуске к работе, признаки заболеваний); температурные показатели помещений, оборудования и продукции; иные производственные и контрольные показатели, предусмотренные санитарным законодательством и планом ХАССП Клиента; дату и время внесения записи и данные о лице, внёсшем запись.

5.4. Фотографии-вложения к записям электронных журналов, загружаемые Пользователями для документального подтверждения проведённых мероприятий (состояние помещений, оборудования, продукции, показаний приборов).

5.5. Данные Telegram при использовании Telegram Mini App: Telegram ID, имя пользователя (username), имя и фамилия в профиле Telegram, язык интерфейса, а также идентификатор чата для отправки уведомлений.

5.6. Технические данные: IP-адрес; файлы cookies; сведения о браузере и операционной системе; тип и параметры устройства; разрешение экрана; дата, время и продолжительность обращений к Сервисам; страницы, с которых был совершён переход; данные системы веб-аналитики Яндекс.Метрика, включая технологию «Вебвизор» (запись действий пользователя в интерфейсе — движения курсора, клики, прокрутка, заполнение форм без сохранения содержимого полей ввода паролей и платёжных данных).

5.7. Данные о платежах: факт совершения платежа, сумма платежа, дата и время платежа, оплаченный тарифный план и период подписки, статус транзакции.

5.8. Оператор не получает, не обрабатывает и не хранит данные банковских карт Пользователей. Ввод и обработка реквизитов банковских карт осуществляются непосредственно на защищённой странице платёжного сервиса «Робокасса» (ООО «Бизнес-Процессинг»), сертифицированного по стандарту безопасности PCI DSS. Оператор получает от платёжного сервиса только сведения о результате платежа.

5.9. Оператор не обрабатывает биометрические персональные данные, специальные категории персональных данных о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, интимной жизни. Сведения о состоянии здоровья обрабатываются исключительно в объёме отметок о допуске сотрудников к работе, предусмотренных санитарным законодательством, и только по поручению Клиента.

5.10. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних. Использование Сервисов предполагается лицами, достигшими возраста, позволяющего вступать в трудовые и договорные отношения.

6. Способы и сроки обработки персональных данных

6.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

6.2. Сбор персональных данных осуществляется путём: самостоятельного ввода данных Пользователем при регистрации и работе в Сервисах; получения данных от Клиента при создании учётных записей сотрудников; получения данных из Telegram при авторизации через Telegram Mini App; автоматического сбора технических данных при обращении к Сервисам.

6.3. Сроки обработки персональных данных:

• учётные данные Пользователя и данные Клиента хранятся в течение срока действия договора и 3 (три) года после его прекращения либо до момента отзыва согласия, если иное не предусмотрено законодательством;
• записи электронных журналов и фотографии-вложения хранятся в течение срока, установленного Клиентом и требованиями санитарного законодательства к хранению учётной документации, но не менее 12 месяцев;
• данные о платежах и бухгалтерские документы хранятся не менее 5 (пяти) лет в соответствии с требованиями налогового законодательства и Федерального закона «О бухгалтерском учёте»;
• технические данные и данные веб-аналитики хранятся в обезличенном виде не более 25 месяцев.

6.4. По достижении целей обработки либо в случае утраты необходимости в достижении этих целей персональные данные подлежат уничтожению или обезличиванию в срок, не превышающий 30 дней, если иное не предусмотрено законодательством или договором.

6.5. При отзыве субъектом персональных данных согласия на обработку Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты поступления отзыва, за исключением случаев, когда обработка может быть продолжена на иных законных основаниях (ч. 2 ст. 9, ч. 4 ст. 21 152-ФЗ).

7. Хранение персональных данных на территории Российской Федерации

7.1. В соответствии с ч. 5 ст. 18 152-ФЗ Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, расположенных на территории Российской Федерации.

7.2. Серверное оборудование и базы данных Оператора размещены в дата-центрах, физически расположенных на территории Российской Федерации, у российских хостинг-провайдеров.

7.3. Резервные копии баз данных также хранятся на территории Российской Федерации.

8. Передача персональных данных третьим лицам

8.1. Оператор не продаёт, не сдаёт в аренду и не передаёт персональные данные третьим лицам, за исключением случаев, прямо указанных в настоящей Политике или предусмотренных законодательством Российской Федерации.

8.2. Персональные данные могут передаваться следующим категориям третьих лиц в объёме, необходимом для достижения целей обработки:

8.2.1. Платёжный сервис «Робокасса» (ООО «Бизнес-Процессинг») — для проведения расчётов за использование Сервисов. Передаётся: идентификатор заказа, сумма платежа, адрес электронной почты и (или) номер телефона плательщика. Реквизиты банковских карт вводятся Пользователем непосредственно на стороне платёжного сервиса и Оператору не передаются.

8.2.2. Хостинг-провайдер — в объёме, обусловленном размещением инфраструктуры и хранением данных на серверах в Российской Федерации. Провайдер не осуществляет самостоятельной обработки данных и действует на основании договора, содержащего обязательства по конфиденциальности.

8.2.3. ООО «ЯНДЕКС» (сервис Яндекс.Метрика) — для сбора и анализа обезличенной статистики посещаемости и поведения пользователей, включая технологию «Вебвизор». Условия обработки определены документами Яндекса, размещёнными по адресу yandex.ru/legal.

8.2.4. Telegram Messenger — при использовании Telegram Mini App и получении уведомлений через бота @wesetupbot. Обработка данных на стороне Telegram регулируется политикой конфиденциальности Telegram.

8.2.5. Уполномоченные государственные органы — по мотивированному запросу в порядке и объёме, установленных законодательством Российской Федерации.

8.3. Все третьи лица, которым передаются персональные данные, обязаны соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке.

8.4. Трансграничная передача персональных данных в иностранные государства, не обеспечивающие адекватной защиты прав субъектов персональных данных, Оператором не осуществляется. В случае возникновения необходимости трансграничной передачи Оператор обеспечит соблюдение требований ст. 12 152-ФЗ, включая направление уведомления в Роскомнадзор и получение отдельного согласия субъекта.

9. Обработка персональных данных сотрудников Клиента

9.1. При использовании Сервисов Клиентом (юридическим лицом или индивидуальным предпринимателем) в отношении персональных данных работников Клиента и иных лиц, данные которых вносятся в электронные журналы, оператором персональных данных выступает Клиент, а Оператор (ООО «БФС») выступает лицом, осуществляющим обработку персональных данных по поручению Клиента в соответствии с ч. 3 ст. 6 152-ФЗ.

9.2. Клиент самостоятельно определяет цели и состав обрабатываемых персональных данных своих работников, обеспечивает наличие правовых оснований обработки, в том числе получение согласий субъектов персональных данных, и несёт ответственность за законность их получения.

9.3. Оператор обрабатывает такие персональные данные исключительно в объёме и целях, определённых поручением Клиента (договором на использование Сервисов), не определяет самостоятельно цели обработки и не использует эти данные в собственных интересах.

9.4. Оператор обязуется соблюдать конфиденциальность персональных данных, обрабатываемых по поручению Клиента, и обеспечивать их безопасность при обработке в соответствии с требованиями ст. 19 152-ФЗ.

9.5. Ответственность перед субъектом персональных данных за действия Оператора несёт Клиент. Оператор несёт ответственность перед Клиентом в соответствии с заключённым договором и законодательством Российской Федерации.

9.6. Обращения работников Клиента, касающиеся реализации их прав как субъектов персональных данных, направляются Клиенту. При поступлении такого обращения Оператору оно перенаправляется Клиенту либо обрабатывается по согласованию с ним.

10. Использование файлов cookies и аналогичных технологий

10.1. Сервисы используют файлы cookies и аналогичные технологии (локальное хранилище браузера — localStorage, sessionStorage) для обеспечения работы Сервисов и улучшения пользовательского опыта.

10.2. Оператор использует следующие категории cookies:

10.2.1. Строго необходимые (технические) cookies — обеспечивают базовую работоспособность Сервисов: авторизацию Пользователя, поддержание сессии, сохранение состояния входа в личный кабинет, защиту от подделки межсайтовых запросов (CSRF), балансировку нагрузки. Такие cookies не могут быть отключены без потери работоспособности Сервисов. Правовое основание — исполнение договора и законный интерес Оператора в обеспечении работы Сервисов.

10.2.2. Функциональные cookies — сохраняют пользовательские настройки: выбранную организацию, параметры отображения интерфейса, признак ознакомления с уведомлениями и информационными сообщениями. Позволяют не настраивать интерфейс заново при каждом входе.

10.2.3. Аналитические cookies — устанавливаются системой Яндекс.Метрика и используются для сбора обезличенной статистики: количество посещений, источники переходов, глубина просмотра, время на страницах, поведение в интерфейсе (технология «Вебвизор»). Данные используются в агрегированном виде для улучшения Сервисов.

10.3. Оператор не использует рекламные cookies и cookies для таргетированной рекламы, не передаёт данные cookies рекламным сетям и брокерам данных.

10.4. Как управлять файлами cookies. Пользователь вправе в любой момент отключить или ограничить использование cookies в настройках своего браузера, а также удалить ранее сохранённые cookies. Соответствующие настройки находятся в следующих разделах:

• Google Chrome: Настройки → Конфиденциальность и безопасность → Файлы cookie и другие данные сайтов;
• Mozilla Firefox: Настройки → Приватность и защита → Куки и данные сайтов;
• Microsoft Edge: Настройки → Файлы cookie и разрешения сайтов;
• Safari: Настройки → Конфиденциальность → Управление данными веб-сайтов;
• Яндекс Браузер: Настройки → Сайты → Расширенные настройки сайтов → Cookie-файлы.

10.5. Пользователь также может отказаться от сбора данных системой Яндекс.Метрика, установив официальное дополнение для браузера «Блокировщик Яндекс.Метрики», доступное на сайте поддержки Яндекса.

10.6. Отключение строго необходимых (технических) cookies приведёт к невозможности авторизации и корректной работы личного кабинета и электронных журналов. Отключение функциональных и аналитических cookies не препятствует использованию Сервисов.

10.7. Продолжая использовать Сервисы без изменения настроек браузера, Пользователь выражает согласие на использование файлов cookies в объёме, указанном в настоящем разделе.

11. Конфиденциальность и меры защиты персональных данных

11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (ст. 19 152-ФЗ).

11.2. К применяемым мерам относятся:

• назначение лица, ответственного за организацию обработки персональных данных;
• утверждение локальных актов, регламентирующих порядок обработки и защиты персональных данных;
• определение угроз безопасности персональных данных и применение мер защиты, соответствующих установленному уровню защищённости;
• шифрование передаваемых данных с использованием протокола HTTPS (TLS);
• хранение паролей исключительно в виде необратимых криптографических хэшей;
• разграничение прав доступа: доступ к данным предоставляется только уполномоченным сотрудникам в объёме, необходимом для выполнения их обязанностей, а внутри Сервисов — на основе ролевой модели и настроек доступа, определяемых Клиентом;
• изоляция данных разных организаций-клиентов друг от друга (мультитенантность);
• ведение журналов действий пользователей и событий безопасности;
• регулярное резервное копирование данных;
• обеспечение физической безопасности серверного оборудования в дата-центрах;
• обязательства о неразглашении для сотрудников, имеющих доступ к персональным данным;
• контроль принимаемых мер и уровня защищённости информационных систем.

11.3. Персональные данные являются конфиденциальной информацией. Сотрудники Оператора, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено законодательством.

11.4. В случае выявления фактов неправомерной обработки персональных данных Оператор в срок, не превышающий 3 (трёх) рабочих дней, устраняет нарушение либо блокирует соответствующие данные и уведомляет об этом субъекта персональных данных и уполномоченный орган в порядке, установленном 152-ФЗ.

11.5. Пользователь обязан не передавать третьим лицам свои учётные данные (логин и пароль) и незамедлительно уведомить Оператора о любом факте несанкционированного доступа к своей учётной записи.

12. Права субъекта персональных данных

12.1. Субъект персональных данных имеет право:

12.1.1. Получать сведения, касающиеся обработки его персональных данных, в объёме, предусмотренном ч. 7 ст. 14 152-ФЗ, в том числе: подтверждение факта обработки; правовые основания и цели обработки; применяемые способы обработки; сведения о лицах, имеющих доступ к данным; перечень обрабатываемых данных и источник их получения; сроки обработки и хранения; наименование и адрес лица, обрабатывающего данные по поручению Оператора.

12.1.2. Требовать уточнения своих персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

12.1.3. Отозвать согласие на обработку персональных данных.

12.1.4. Возражать против обработки персональных данных в случаях, предусмотренных законодательством.

12.1.5. Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

12.1.6. На защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке.

12.2. Порядок обращения. Для реализации своих прав субъект персональных данных направляет запрос на адрес электронной почты support@wesetup.ru либо в письменной форме по почтовому адресу Оператора: 141065, Московская область, г. Королёв, ул. Ленина, д. 10/6.

12.3. Запрос должен содержать: сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, адрес электронной почты учётной записи, дату регистрации) либо иным образом подтверждающие факт обработки его данных; фамилию, имя, отчество субъекта; номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе; подпись субъекта или его представителя. Запрос может быть направлен в форме электронного документа.

12.4. Оператор рассматривает обращение и направляет мотивированный ответ в срок, не превышающий 30 (тридцати) дней с даты получения запроса. Срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением субъекта о причинах продления.

12.5. Оператор вправе отказать в предоставлении сведений или в выполнении требования в случаях, прямо предусмотренных ч. 8 ст. 14 и ч. 2 ст. 20 152-ФЗ, с направлением мотивированного ответа.

12.6. Многие права Пользователь может реализовать самостоятельно: изменить свои учётные данные в личном кабинете, отключить уведомления, удалить загруженные фотографии-вложения, запросить удаление учётной записи через службу поддержки.

12.7. Отзыв согласия на обработку персональных данных, необходимых для предоставления Сервисов, влечёт невозможность дальнейшего использования Сервисов и прекращение договора.

13. Изменение Политики

13.1. Оператор вправе вносить изменения в настоящую Политику в одностороннем порядке, в том числе при изменении законодательства Российской Федерации, состава Сервисов или порядка обработки персональных данных.

13.2. Новая редакция Политики вступает в силу с момента её размещения на сайте wesetup.ru, если иное не предусмотрено самой редакцией.

13.3. Дата последней редакции указывается в начале документа. Пользователю рекомендуется периодически знакомиться с актуальной редакцией Политики.

13.4. При существенном изменении условий обработки персональных данных Оператор дополнительно уведомляет Пользователей по электронной почте либо через интерфейс Сервисов.

13.5. Продолжение использования Сервисов после вступления в силу новой редакции Политики означает согласие Пользователя с внесёнными изменениями.

13.6. К настоящей Политике и отношениям между Пользователем и Оператором применяется законодательство Российской Федерации. Споры разрешаются в порядке, установленном законодательством Российской Федерации.

14. Реквизиты Оператора

Telegram-бот: @wesetupbot. Адрес для направления обращений по вопросам обработки персональных данных — support@wesetup.ru.