Политика обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных при использовании сайта и сервиса «Все в норме» (далее — «Сервис») в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Политика распространяется на все персональные данные, которые Оператор получает от посетителей сайта, от пользователей Сервиса и от организаций-клиентов.

2. Оператор персональных данных

Гостев Дмитрий Юрьевич, физическое лицо, применяющее специальный налоговый режим «Налог на профессиональный доход» (самозанятый), далее — «Оператор».

• ИНН: 366216587237
• Адрес регистрации: г. Воронеж, ул. Победы, д. 25
• Телефон: +7 961 185-50-00
• E-mail для обращений по вопросам обработки персональных данных: mail2vrn@inbox.ru

3. Две разные роли: где Оператор действует сам, а где — по поручению клиента

Оператором в отношении своих собственных данных Оператор является для: данных из формы заявки на демо-доступ, учётных записей пользователей Сервиса и технических данных о посещении сайта.

Лицом, осуществляющим обработку по поручению оператора (ч. 3 ст. 6 152-ФЗ), Оператор является в отношении данных, которые организация-клиент самостоятельно вносит в Сервис о своих работниках — журналы производственного контроля, реестр сотрудников, отметки медицинских осмотров. Оператором этих данных является сама организация-клиент как работодатель; Оператор обрабатывает их исключительно по её поручению, в объёме и целях, определённых поручением. Условия поручения приведены в Пользовательском соглашении (публичной оферте).

4. Какие данные обрабатываются

4.1. Данные из формы заявки на демонстрационный доступ: фамилия, имя, отчество; номер телефона; наименование организации; IP-адрес отправителя формы.

4.2. Данные учётных записей пользователей организаций-клиентов: фамилия, имя, отчество; адрес электронной почты; роль в Сервисе; точка контроля (подразделение); отдел.

4.3. Технические данные о посещении сайта: IP-адрес, тип и версия браузера, тип устройства, источник перехода, просмотренные страницы, идентификаторы файлов cookie систем веб-аналитики.

4.4. Данные, вносимые организацией-клиентом о своих работниках (обрабатываются по поручению — см. раздел 3): фамилия, имя, отчество и должность работника; график работы; номер и дата выдачи личной медицинской книжки; отметки ежедневного медицинского осмотра перед сменой — допуск к работе, наличие признаков заболевания, наличие повреждений кожных покровов.

Отметки медицинского осмотра и сведения о личной медицинской книжке относятся к специальным категориям персональных данных (сведения о состоянии здоровья, ст. 10 152-ФЗ). Они обрабатываются в связи с обязанностью работодателя обеспечивать проведение предварительных и периодических медицинских осмотров работников пищевых производств и организаций общественного питания, установленной трудовым и санитарным законодательством Российской Федерации.

4.5. Данные, разрешённые субъектом для распространения: фамилия, имя, отчество, должность, наименование организации — места работы, фотография и текст отзыва о Сервисе. Обрабатываются только при наличии отдельного письменного согласия конкретного человека, оформленного по ст. 10.1 152-ФЗ, и только в объёме, который он в этом согласии разрешил — см. Согласие на распространение персональных данных.

Биометрические персональные данные Сервисом не обрабатываются.

5. Цели обработки

• связь с заявителем демо-доступа и предоставление тестового доступа к Сервису;
• предоставление доступа к Сервису зарегистрированным пользователям организаций-клиентов, разграничение прав доступа;
• исполнение обязательств по договору оказания услуг (см. Пользовательское соглашение);
• ведение организацией-клиентом журналов производственного контроля и формирование отчётных документов — по её поручению;
• техническая поддержка пользователей и обеспечение безопасности Сервиса;
• анализ посещаемости сайта и улучшение его работы на основе статистики;
• размещение отзывов о Сервисе и упоминание организаций-клиентов в информационных материалах — при наличии соответствующего согласия;
• направление информационных и рекламных сообщений — только при наличии отдельного согласия.

6. Правовые основания обработки

• согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ) — для данных из формы заявки и для аналитических файлов cookie; текст согласия размещён на странице Согласие на обработку персональных данных;
• исполнение договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 152-ФЗ) — для учётных записей пользователей;
• поручение оператора (ч. 3 ст. 6 152-ФЗ) — для данных работников организаций-клиентов;
• обработка в соответствии с трудовым законодательством (п. 2.3 ч. 2 ст. 10 152-ФЗ) — для сведений о медицинских осмотрах работников; получения отдельного согласия работника такая обработка не требует;
• ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» — для рассылки информационных и рекламных сообщений;
• ст. 10.1 152-ФЗ — для персональных данных, разрешённых субъектом для распространения (отзывы на сайте).

7. Кому передаются данные

Персональные данные не являются общедоступными, не продаются и не передаются третьим лицам, за исключением случаев, прямо предусмотренных законодательством РФ, и следующих лиц, привлечённых для технической работы Сервиса и действующих по поручению Оператора:

• Хостинг-провайдер — размещение серверов Сервиса на территории Российской Федерации.
• ООО «ЯНДЕКС» (ОГРН 1027700229193) — сервис веб-аналитики Яндекс Метрика. Обрабатывает технические данные посетителей сайта (п. 4.3). Подключается только после согласия посетителя, выраженного через баннер о файлах cookie, и не подключается на страницах Сервиса, доступных после входа в учётную запись.
• Yandex SmartCaptcha (сервис ООО «Яндекс.Облако») — защита формы заявки от автоматических отправок. Получает технические данные о браузере и поведении при прохождении проверки.
• Мессенджер MAX (российский сервис) — доставка сообщений по заявке на демонстрационный доступ. Передаются данные, необходимые для доставки: идентификатор чата и текст сообщения. Это единственный мессенджер, используемый Оператором для связи по заявкам; трансграничная передача персональных данных при этом не осуществляется.

В сервисы генеративного искусственного интеллекта, используемые модулем AI-ассистента, передаётся только производственный контент, который пользователь вносит самостоятельно (наименования блюд, рецептуры, данные о поставках). Передача в них персональных данных работников не предусмотрена функциональностью Сервиса.

8. Файлы cookie и веб-аналитика

8.1. Технически необходимые cookie и localStorage работают всегда: они обеспечивают вход в Сервис, хранение токена авторизации и запоминание выбранной темы оформления. Без них Сервис не работает, согласие для них не требуется.

8.2. Аналитические cookie (Яндекс Метрика) подключаются только после того, как посетитель нажал «Принять все» в баннере о файлах cookie. До этого момента счётчик не загружается и cookie не устанавливаются. Выбор «Только необходимые» означает, что аналитика не подключается вовсе.

8.3. Запись сессий посетителей (Вебвизор) отключена. Счётчик веб-аналитики не подключается на страницах, доступных после входа в учётную запись, — чтобы данные работников организаций-клиентов не попадали в систему аналитики.

8.4. Источник перехода (метки рекламной кампании из ссылки и адрес сайта, с которого выполнен переход) сохраняется в localStorage браузера посетителя на срок до 30 дней. Это не файлы cookie веб-аналитики: данные никуда не передаются до тех пор, пока посетитель сам не отправит форму заявки, и используются только для обезличенного подсчёта того, из какого материала пришли заявки. Вместе с конкретной заявкой источник перехода не сохраняется и с фамилией, телефоном или иными данными заявителя не связывается. Идентификатор посетителя и история просмотренных страниц не сохраняются.

8.5. Ранее сделанный выбор можно изменить, очистив данные сайта в настройках браузера, — баннер будет показан заново. Отключить или удалить cookie можно в настройках браузера; это может ограничить работу отдельных функций сайта.

9. Распространение персональных данных

Оператор размещает в открытом доступе персональные данные (отзывы с указанием имени, должности, места работы, фотографии) исключительно на основании отдельного письменного согласия на распространение, оформленного в соответствии со ст. 10.1 152-ФЗ и приказом Роскомнадзора от 24.02.2021 № 18. Согласие, выраженное отметкой в форме на сайте или включённое в состав другого документа, для этих целей не используется.

Субъект персональных данных вправе в любой момент потребовать прекратить распространение. Оператор прекращает передачу (распространение, предоставление, доступ) в срок, не превышающий трёх рабочих дней с момента получения требования (ч. 12 ст. 10.1 152-ФЗ).

Наименования и логотипы организаций-клиентов персональными данными не являются и используются на основании раздела 10 Пользовательского соглашения.

10. Место хранения данных

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием базы данных, физически расположенной на территории Российской Федерации, в соответствии с ч. 5 ст. 18 152-ФЗ и Федеральным законом от 21.07.2014 № 242-ФЗ.

11. Сроки обработки и уничтожение

10.1. Данные из формы заявки на демо-доступ хранятся до отзыва согласия субъектом персональных данных.

10.2. Данные учётных записей и данные, внесённые организацией-клиентом, хранятся в течение срока действия договора с этой организацией. По окончании договора они по указанию клиента возвращаются ему в виде выгрузки либо уничтожаются.

10.3. По достижении целей обработки, при отзыве согласия или по требованию клиента персональные данные уничтожаются в срок, не превышающий 30 дней, если отсутствуют иные предусмотренные законом основания для их обработки.

12. Меры защиты персональных данных

Оператор принимает организационные и технические меры для защиты персональных данных от неправомерного доступа, изменения, раскрытия и уничтожения:

• данные каждой организации-клиента изолированы на уровне базы данных: пользователи одной организации не имеют технической возможности получить доступ к данным другой организации;
• доступ внутри организации ограничен ролевой моделью; распределением ролей управляет сама организация-клиент;
• все соединения с Сервисом защищены протоколом HTTPS;
• пароли хранятся в виде необратимых хеш-значений, токены обновления сессии — в хешированном виде, с автоматическим отзывом при повторном использовании;
• выполняется ежедневное резервное копирование базы данных;
• действия пользователей с записями журналов фиксируются в неизменяемом журнале действий;
• данные одной организации-клиента не используются в интересах другой организации и не применяются для обучения моделей искусственного интеллекта.

13. Права субъекта персональных данных

Субъект персональных данных вправе:

• получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном ч. 7 ст. 14 152-ФЗ;
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны или получены незаконно;
• отозвать согласие на обработку персональных данных;
• отказаться от получения информационных и рекламных сообщений;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

Обращения направляются на mail2vrn@inbox.ru. Срок ответа — 10 рабочих дней с даты получения обращения. Если запрос касается данных, внесённых организацией-клиентом о своих работниках, Оператор перенаправляет обращение этой организации как оператору таких данных и уведомляет об этом заявителя.

14. Уведомление об инцидентах

В случае неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента и направляет результаты внутреннего расследования в течение 72 часов, в порядке ч. 3.1 ст. 21 152-ФЗ. Организации-клиенты, чьи данные затронуты, уведомляются в тот же срок.

15. Изменение Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция с датой вступления в силу всегда доступна на этой странице.