Политика конфиденциальности и обработки персональных данных

1. Общие положения и ответственные лица

1.1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных (далее — «ПД») физических лиц (далее — «Пользователи»), использующих ИТ-платформу Tgsstepa.io.

1.2. Политика разработана в соответствии с:

• Конституцией Российской Федерации (ст. 23, 24);
• Федеральным законом № 152-ФЗ «О персональных данных»;
• Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановлениями Правительства РФ, регулирующими обработку ПД;
• иными нормативными правовыми актами РФ в области защиты ПД.

1.3. Политика является неотъемлемой частью Публичной оферты и Согласия на обработку ПД.

1.4. Оператором персональных данных является:

ИП Горбунов Александр Владимирович
ИНН: 860401113587
ОГРНИП: 304860435800083
Email: sana626@mail.ru
Телефон: +7 921 871 72 05
Сайт: Tgsstepa.io

1.5. Лицом, ответственным за организацию обработки ПД (DPO), является лично ИП Горбунов А. В.

1.6. Платформа предназначена для лиц, достигших 18-летнего возраста. Оператор не обрабатывает данные несовершеннолетних осознанно и принимает меры по их удалению при выявлении.

1.7. Использование Платформы означает согласие Пользователя с условиями Политики. В случае несогласия Пользователь обязан прекратить использование Платформы.

2. Принципы и методы обработки

2.1. Обработка ПД осуществляется на основе следующих принципов (ст. 5 ФЗ № 152-ФЗ):

• законность и справедливость — обработка на законных основаниях, без нарушения прав Пользователя;
• ограничение целей — обработка только для конкретных, заранее определённых и законных целей;
• недопущение объединения баз — не допускается объединение баз данных, обработанных для несовместимых целей;
• соответствие объёма — содержание и объём обрабатываемых ПД соответствуют целям обработки;
• точность и актуальность — обеспечение достаточности, точности и актуальности ПД по отношению к целям обработки;
• уничтожение по достижении целей — ПД уничтожаются или обезличиваются по достижении целей обработки.

2.2. Оператор использует автоматизированную и неавтоматизированную обработку ПД в объёме, необходимом для функционирования Платформы, обеспечения безопасности и исполнения требований законодательства.

2.3. Оператор не принимает решения, порождающие юридические последствия для Пользователя, исключительно на основании автоматизированной обработки ПД, за исключением случаев, предусмотренных законом.

3. Перечень обрабатываемых данных

3.1. Заказчики:

• ФИО или псевдоним;
• номер телефона;
• Telegram ID и @username;
• аватар / изображение профиля (при загрузке);
• история Заявок (маршруты, даты, время, комментарии, категории);
• выбранные Исполнители и история взаимодействия;
• геоданные (в момент использования функций, требующих определения местоположения);
• отзывы и оценки;
• технические данные (IP, cookie, устройство, браузер, ОС).

3.2. Исполнители:

• ФИО или псевдоним;
• номер телефона;
• Telegram ID и @username;
• данные транспортного средства: марка, модель, цвет, год выпуска, госномер;
• скан-копии документов: водительское удостоверение (с обеих сторон), СТС;
• паспортные данные (при расширенной верификации: серия, номер, дата выдачи, кем выдан, код подразделения, адрес регистрации);
• фотографии транспортного средства (экстерьер, интерьер);
• статус верификации и результаты проверки документов;
• история Откликов, принятых и выполненных поездок;
• финансовые данные: пополнения, списания, идентификаторы транзакций;
• отзывы и оценки;
• технические данные (IP, cookie, устройство, браузер, ОС).

3.3. Платёжные данные:

• данные о пополнениях внутреннего кошелька (дата, сумма, способ оплаты);
• история списаний за Отклики, подписки и платные функции;
• идентификаторы транзакций от платёжных провайдеров;
• статусы платежей и возвратов.

Оператор не хранит полные номера банковских карт, CVC/CVV-коды, PIN-коды. Обработка платёжных данных осуществляется на стороне сертифицированных платёжных провайдеров, соответствующих требованиям PCI DSS и ФЗ № 161-ФЗ.

3.4. Технические данные:

• IP-адрес;
• тип и версия браузера, операционная система, устройство;
• файлы cookie;
• время и длительность доступа;
• источник перехода;
• поведенческие события (клики, прокрутка, переходы);
• геолокация (в обезличенном виде, для аналитики).

4. Цели обработки

4.1. Оператор обрабатывает ПД в следующих целях:

• предоставление доступа к цифровой P2P-платформе для размещения Заявок и направления Откликов;
• идентификация и аутентификация Пользователя, создание и обслуживание личного кабинета;
• модерация пользовательского контента (Заявок, Откликов, профилей, отзывов);
• технологический обмен контактами между Пользователями после осознанного выбора;
• обеспечение информационного взаимодействия между Пользователями;
• отправка сервисных и юридически значимых уведомлений через Telegram-бота, email и web-интерфейс;
• обработка платежей, пополнений внутреннего баланса, списаний за платные функции;
• обеспечение безопасности, предотвращение мошенничества, скоринг надёжности;
• рассмотрение обращений, жалоб и претензий Пользователей;
• разрешение споров;
• исполнение обязательств по налоговому, гражданскому, транспортному законодательству РФ;
• анализ и улучшение функционала Платформы;
• сбор обезличенной статистики через системы веб-аналитики;
• маркетинговые и информационные рассылки (с отдельного согласия, если применимо).

4.2. Обработка ПД в иных целях не допускается без получения отдельного согласия Пользователя.

5. Метрики, аналитика и cookie

5.1. Оператор использует системы веб-аналитики для сбора обезличенных технических данных о работе сервиса:

• Яндекс.Метрика (ООО «ЯНДЕКС», РФ) — сбор статистики посещений, поведенческих факторов;
• иные аналитические сервисы, соответствующие требованиям законодательства РФ.

5.2. Собираемые аналитические данные: cookie, IP-адрес, параметры устройства и браузера, источник перехода, поведенческие факторы, время на сайте.

5.3. Аналитические данные обрабатываются в обезличенном виде и не используются для идентификации конкретных Пользователей без их согласия.

5.4. Виды cookie, используемых Платформой:

• необходимые — для базовой работоспособности (авторизация, сессии, безопасность);
• аналитические — для сбора статистики;
• функциональные — для запоминания настроек и предпочтений.

5.5. Пользователь вправе ограничить или отключить cookie в настройках браузера. При этом отдельные функции Платформы могут работать ограниченно.

6. Локализация и трансграничная передача

6.1. Локализация: Базы данных персональных данных граждан РФ находятся на территории Российской Федерации в соответствии с ч. 5 ст. 18 ФЗ № 152-ФЗ.

6.2. Трансграничная передача: В связи с использованием Telegram (Telegram Messenger Inc., ОАЭ) и Cloudflare Inc. (США), Оператор осуществляет трансграничную передачу следующих данных:

• Telegram ID, @username, текстовое содержимое сообщений — на серверы в ОАЭ для обеспечения работы Telegram-бота;
• IP-адреса (в обезличенном виде) — компании Cloudflare Inc. для защиты от кибератак и обеспечения доступности.

6.3. Передача осуществляется в объёме, минимально необходимом для работы соответствующих функций.

6.4. Передача ПД третьим лицам допускается:

• между Заказчиком и Исполнителем для исполнения сделки после осознанного выбора;
• платёжным провайдерам для обработки платежей;
• по законному запросу уполномоченных государственных органов (суд, ФНС, МВД, Роскомнадзор и иные);
• в иных случаях, прямо предусмотренных законодательством РФ.

6.5. Оператор не продаёт и не передаёт ПД Пользователей третьим лицам в коммерческих целях.

7. Права субъектов персональных данных

7.1. В соответствии со ст. 15–17 ФЗ № 152-ФЗ Пользователь имеет право на:

• доступ — получение информации об обработке ПД, сроках хранения, лицах, имеющих доступ;
• исправление — требование уточнения неполных, неточных или устаревших данных;
• блокирование — приостановление обработки при незаконности;
• уничтожение — удаление ПД при достижении целей, незаконности получения или отзыве согласия;
• отзыв согласия — в любой момент без объяснения причин;
• обжалование — обращение в Роскомнадзор или суд.

7.2. Запросы направляются на sana626@mail.ru. Срок рассмотрения — 10 рабочих дней.

7.3. Оператор вправе запрашивать дополнительную информацию для подтверждения личности Пользователя перед предоставлением доступа к ПД.

7.4. В случае отказа в предоставлении доступа Оператор обязан дать обоснованный ответ в течение 10 рабочих дней.

8. Технические и организационные меры защиты

8.1. Оператор применяет следующие технические меры защиты ПД:

• шифрование каналов передачи данных (HTTPS/TLS 1.2+);
• шифрование баз данных и резервных копий;
• сетевые экраны (Firewalls) и системы предотвращения вторжений (IPS/IDS);
• разграничение прав доступа сотрудников к базам данных (RBAC);
• многофакторная аутентификация для административного доступа;
• мониторинг и журналирование критичных событий безопасности;
• регулярное резервное копирование в зашифрованные хранилища;
• контроль целостности и доступности информационных систем;
• регулярное обновление и патчинг программного обеспечения;
• антивирусная защита и защита от вредоносного ПО.

8.2. Организационные меры:

• назначение лица, ответственного за обработку ПД (DPO);
• обучение сотрудников, имеющих доступ к ПД;
• ознакомление сотрудников под роспись с политикой конфиденциальности;
• контроль доступа сотрудников к ПД и журналирование действий;
• регламент реагирования на инциденты безопасности;
• план восстановления работоспособности после инцидентов.

8.3. Доступ к ПД имеют только уполномоченные сотрудники Оператора, обязанные соблюдать конфиденциальность.

8.4. При выявлении инцидента, связанного с нарушением безопасности ПД, Оператор:

• принимает меры по локализации и устранению последствий;
• уведомляет уполномоченный орган (Роскомнадзор) в установленный законом срок;
• уведомляет затронутых Пользователей, если это предусмотрено законом.

9. Сроки хранения

9.1. Сроки хранения ПД определяются целями обработки и требованиями законодательства:

• ПД активных Пользователей — весь период использования Платформы;
• после удаления аккаунта или отзыва согласия — уничтожение в течение 30 дней, за исключением данных, хранение которых обязательно по закону;
• финансовые и налоговые данные — не менее 4 лет (НК РФ);
• документы верификации Исполнителей — в течение срока действия аккаунта и 1 года после удаления;
• логи серверов и технические журналы — не более 90 дней, если иной срок не установлен законом;
• история Заявок и Откликов — в течение срока действия аккаунта и 6 месяцев после удаления (для разрешения споров);
• обезличенные аналитические данные — бессрочно.

9.2. По истечении срока хранения ПД подлежат уничтожению или обезличиванию.

9.3. Обезличенные данные могут использоваться Оператором бессрочно для аналитических и статистических целей.

10. Автоматизированная обработка и профилирование

10.1. Оператор использует автоматизированную обработку ПД для:

• автоматической проверки документов Исполнителей;
• скоринга надёжности Пользователей;
• автоматического определения геоположения;
• автоматической фильтрации и модерации контента;
• сбора обезличенной аналитики.

10.2. Автоматизированная обработка не используется для принятия решений, порождающих юридические последствия для Пользователя, без его дополнительного согласия.

11. Уведомления об инцидентах

11.1. При выявлении инцидента, повлёкшего утечку или неправомерный доступ к ПД, Оператор:

• незамедлительно принимает меры по локализации инцидента;
• уведомляет Роскомнадзор в срок, установленный Постановлением Правительства РФ № 1139;
• уведомляет затронутых Пользователей в срок, установленный законом;
• проводит внутреннее расследование и принимает меры по предотвращению повторных инцидентов.

12. Изменение Политики

12.1. Оператор вправе изменять Политику в одностороннем порядке путём публикации новой редакции на сайте.

12.2. Новая редакция вступает в силу с момента публикации, если иной срок не указан дополнительно.

12.3. Пользователь обязан самостоятельно отслеживать изменения Политики.

12.4. Продолжение использования Платформы после публикации новой редакции означает согласие Пользователя с изменениями.

13. Заключительные положения

13.1. Политика регулируется законодательством Российской Федерации.

13.2. Если отдельное положение Политики признано недействительным, это не влияет на действительность остальных положений.

13.3. Во всём, что не урегулировано Политикой, стороны руководствуются Публичной офертой, Согласием на обработку ПД и законодательством РФ.

13.4. В случае расхождения текста Политики на русском языке с переводами на иные языки, преимущественную силу имеет текст на русском языке.

13.5. Все приложения и ссылки, указанные в Политике, являются её неотъемлемой частью.