Политика обработки персональных данных

1. Общие положения

1. 1.1. Настоящая Политика определяет порядок и условия обработки персональных данных Обществом с ограниченной ответственностью «ЭВЕНТ ДЕВЕЛОПМЕНТ» (далее — Оператор) и меры по их защите. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ).
2. 1.2. Политика применяется ко всем персональным данным, которые Оператор обрабатывает при работе сайта https://flowroom.team (далее — Сайт), веб-приложения cabinet.flowroom.team (далее — Кабинет), программного интерфейса и серверов связи api.flowroom.team, вместе — сервиса FlowRoom (далее — Сервис).
3. 1.3. Политика опубликована в свободном доступе в соответствии с ч. 2 ст. 18.1 Закона № 152-ФЗ и является неотъемлемой частью Публичной оферты и Пользовательского соглашения.
4. 1.4. Оператор обрабатывает персональные данные на основе принципов законности, ограничения обработки конкретными целями, соответствия объёма данных заявленным целям, точности и актуальности данных и их уничтожения после достижения целей обработки (ст. 5 Закона № 152-ФЗ).

2. Термины

1. 2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
2. 2.2. Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.
3. 2.3. Субъект — физическое лицо, к которому относятся персональные данные.
4. 2.4. Пользователь, Заказчик, Участник, Гость, Аккаунт, Запись, Демо — в значениях, определённых офертой.
5. 2.5. Cookie — небольшие текстовые файлы, которые Сайт или Кабинет сохраняет в браузере посетителя.
6. 2.6. Иные термины используются в значениях, установленных Законом № 152-ФЗ.

3. Оператор

4. Категории субъектов

1. 4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• посетители Сайта;
• зарегистрированные Пользователи, в том числе Участники команд Заказчиков;
• Гости, присоединившиеся к доске или созвону по ссылке-приглашению;
• участники созвонов, в том числе записываемых;
• пользователи Демо;
• индивидуальные предприниматели и представители юридических лиц — Заказчиков;
• лица, обратившиеся через форму обратной связи, по электронной почте или в поддержку.

5. Какие данные мы обрабатываем

1. 5.1. Регистрация и Аккаунт: имя, адрес электронной почты, пароль. Пароль хранится только в виде хэша, вычисленного по алгоритму scrypt; в открытом виде пароль Оператору недоступен.
2. 5.2. Гостевой доступ: имя, которое Гость указывает при входе по ссылке-приглашению.
3. 5.3. Созвоны: изображение и голос участников передаются в реальном времени — напрямую между браузерами участников или через TURN-сервер Оператора на api.flowroom.team. Эти данные не сохраняются. При прямом соединении браузеры участников обмениваются сетевыми адресами, необходимыми для установления соединения.
4. 5.4. Записи созвонов: изображение, голос и отображаемые имена участников — только если ведущий на платном тарифе включил запись. Во время записи все участники видят индикатор.
5. 5.5. Доски: содержимое, которое добавили Пользователи и Гости. Если в него включены персональные данные, они обрабатываются в составе Контента.
6. 5.6. Форма обратной связи: имя, адрес электронной почты, номер телефона (необязательно), название компании, текст сообщения.
7. 5.7. Расчёты с Заказчиками: реквизиты организации или индивидуального предпринимателя, указанные для выставления счёта и оформления закрывающих документов. Для индивидуального предпринимателя реквизиты включают фамилию, имя, отчество и ИНН.
8. 5.8. Технические данные: IP-адрес, сведения о браузере и устройстве (user-agent), журналы сервера.
9. 5.9. Cookie: значения cookie, перечисленные в Политике использования cookie.

6. Цели и правовые основания обработки

1. 6.1. Оператор обрабатывает персональные данные только для заранее определённых целей. Ссылки на пункты ниже относятся к ч. 1 ст. 6 Закона № 152-ФЗ.

1. 6.2. Оператор не принимает решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права, исключительно на основании автоматизированной обработки персональных данных (ст. 16 Закона № 152-ФЗ).

7. Действия с персональными данными

1. 7.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение.
2. 7.2. Обработка ведётся с использованием средств автоматизации на серверах Оператора. Бухгалтерские документы могут обрабатываться также без средств автоматизации.
3. 7.3. Доступ к персональным данным в рамках самого Сервиса определяется действиями Пользователей: имя Гостя видят участники доски, изображение и голос — участники созвона, Контент доски — те, кому открыта ссылка. Такой доступ не является распространением персональных данных неопределённому кругу лиц.

8. Сроки обработки и хранения

1. 8.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если более длительный срок не установлен законом или договором. Сроки по каждой цели указаны в разделе 6.
2. 8.2. Журналы сервера с IP-адресами и сведениями о браузере хранятся 30 дней и затем удаляются автоматически.
3. 8.3. Данные Демо-песочницы автоматически удаляются через 24 часа.
4. 8.4. Записи созвонов хранятся в разделе «Записи» до их удаления ведущим или администратором команды либо до прекращения договора с Заказчиком.
5. 8.5. При достижении цели обработки Оператор уничтожает персональные данные в срок, не превышающий 30 дней (ч. 4 ст. 21 Закона № 152-ФЗ). При отзыве согласия обработка прекращается, а данные уничтожаются в срок, не превышающий 30 дней (ч. 5 ст. 21 Закона № 152-ФЗ), если у Оператора нет иного законного основания для их обработки.
6. 8.6. Документы, необходимые для бухгалтерского и налогового учёта, хранятся в течение сроков, установленных законодательством.

9. Хранение данных в Российской Федерации

1. 9.1. В соответствии с ч. 5 ст. 18 Закона № 152-ФЗ запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.
2. 9.2. Сайт, Кабинет, API, сервер сигнализации и TURN-сервер работают на собственных серверах Оператора в Российской Федерации. Персональные данные не размещаются на серверах третьих лиц и не передаются за пределы Российской Федерации.

10. Передача персональных данных третьим лицам

1. 10.1. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации, в том числе по запросам суда и уполномоченных государственных органов.
2. 10.2. Если Заказчик выбрал обмен документами через ЭДО, счета и акты с реквизитами Заказчика направляются ему через оператора электронного документооборота, которым пользуется Заказчик.
3. 10.3. На странице Контакты размещена карта Яндекс.Карт. При её загрузке браузер посетителя напрямую обращается к серверам Яндекса, который может получить IP-адрес посетителя и установить свои cookie. Такое взаимодействие регулируется документами Яндекса; Оператор не передаёт Яндексу персональные данные посетителей.
4. 10.4. Сторонние счётчики посещаемости (Яндекс.Метрика, Google Analytics и подобные) на Сайте не используются.

11. Трансграничная передача

1. 11.1. Оператор не осуществляет трансграничную передачу персональных данных, то есть не передаёт их на территорию иностранных государств, иностранным органам власти, иностранным физическим или юридическим лицам.

12. Меры защиты

1. 12.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона № 152-ФЗ, в том числе:

• назначает лицо, ответственное за организацию обработки персональных данных;
• утверждает локальные акты по вопросам обработки и защиты персональных данных и знакомит с ними работников, допущенных к обработке;
• определяет угрозы безопасности персональных данных и оценивает вред, который может быть причинён субъектам при нарушении Закона № 152-ФЗ;
• ограничивает доступ к персональным данным кругом работников, которым он необходим для выполнения обязанностей;
• хранит пароли только в виде хэша scrypt;
• передаёт данные между браузером и серверами по защищённому протоколу HTTPS; cookie сессии входа имеет атрибуты HttpOnly и Secure;
• шифрует медиапотоки созвонов по протоколу DTLS-SRTP;
• ведёт журналы событий на серверах для выявления и расследования инцидентов;
• осуществляет внутренний контроль соответствия обработки персональных данных требованиям закона и настоящей Политике.

1. 12.2. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов, а о результатах внутреннего расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона № 152-ФЗ).

13. Права субъекта персональных данных

1. 13.1. В соответствии со ст. 14 Закона № 152-ФЗ субъект вправе получить сведения об обработке своих персональных данных, в том числе:

• подтверждение факта обработки;
• правовые основания, цели и способы обработки;
• наименование и место нахождения Оператора;
• перечень обрабатываемых персональных данных и источник их получения;
• сроки обработки и хранения;
• порядок осуществления прав субъекта;
• сведения о трансграничной передаче (Оператор её не осуществляет).

1. 13.2. Субъект вправе требовать уточнения, блокирования или уничтожения своих персональных данных, если они неполные, устаревшие, неточные, незаконно получены или не являются необходимыми для заявленной цели обработки.
2. 13.3. Субъект вправе в любой момент отозвать согласие на обработку персональных данных в порядке, описанном в Согласии, и потребовать прекратить обработку.
3. 13.4. Субъект вправе обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде (ст. 17 Закона № 152-ФЗ).

14. Как направить запрос

1. 14.1. Запрос направляется на legal@flowroom.team или письмом по адресу: 601654, Владимирская обл., г. Александров, ул. Октябрьская, д. 6/5, ООО «ЭВЕНТ ДЕВЕЛОПМЕНТ».
2. 14.2. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона № 152-ФЗ: данные документа, удостоверяющего личность субъекта или его представителя, сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты Аккаунта), и подпись субъекта или его представителя. Электронный запрос подписывается электронной подписью; запрос, направленный с адреса электронной почты Аккаунта, помогает быстрее установить субъекта.
3. 14.3. Оператор отвечает на запрос в течение 10 (десяти) рабочих дней с даты его получения (ч. 1 ст. 20 Закона № 152-ФЗ). Срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением субъекту мотивированного уведомления.
4. 14.4. Требование прекратить обработку исполняется в течение 10 рабочих дней с возможностью продления на 5 рабочих дней (ч. 5.1 ст. 21 Закона № 152-ФЗ), если у Оператора нет иного законного основания для обработки. Неточные данные уточняются в течение 7 рабочих дней после подтверждения неточности; неправомерная обработка прекращается в течение 3 рабочих дней, а данные при невозможности обеспечить правомерность обработки уничтожаются в течение 10 рабочих дней (ст. 21 Закона № 152-ФЗ).
5. 14.5. Сведения предоставляются в доступной форме и не содержат персональных данных других субъектов.

15. Cookie

1. 15.1. Сайт использует необходимые cookie (выбор в cookie-баннере), функциональную cookie темы оформления и — только после нажатия «Принять все» — аналитические cookie для собственной обезличенной статистики. В Кабинете и API используется cookie сессии входа.
2. 15.2. Полный перечень cookie, их сроки и порядок изменения выбора — в Политике использования cookie. Изменить выбор можно кнопкой «Настройки cookie» в подвале Сайта.

16. Уведомление Роскомнадзора

1. 16.1. Оператор направляет в Роскомнадзор уведомление об обработке персональных данных в порядке и сроки, предусмотренные ст. 22 Закона № 152-ФЗ, и своевременно сообщает об изменении указанных в нём сведений. Сведения об Операторе вносятся в реестр операторов, осуществляющих обработку персональных данных.

17. Актуализация политики

1. 17.1. Оператор пересматривает Политику при изменении законодательства, состава обрабатываемых данных или порядка их обработки.
2. 17.2. Новая редакция публикуется на этой странице с указанием даты и номера версии и вступает в силу с момента публикации, если в ней не указано иное.
3. 17.3. Вопросы о Политике направляйте на legal@flowroom.team.