Политика обработки персональных данных

1. Общие положения и контакты

Настоящая Политика определяет порядок обработки персональных данных (далее — ПДн) Общество с ограниченной ответственностью «Аквио» (ИНН 5001158328, ОГРН 1245000015391, юридический адрес: 115230, г. Москва, ул. Нагатинская, д. 2), далее — Оператор, при оказании услуг объектного S3-хранилища s3data (https://s3data.ru) в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и иными нормативными правовыми актами РФ.

Ответственность за организацию обработки ПДн на стороне Оператора несёт генеральный директор Лебедева Ольга Петровна. Контактное лицо по вопросам обработки ПДн — info@s3data.ru (тема письма «Персональные данные»); почтовый адрес для письменных обращений: 115230, г. Москва, ул. Нагатинская, д. 2(ООО «Аквио»).

Принимая условия публичной оферты и/или используя Сайт, субъект ПДн подтверждает ознакомление с настоящей Политикой.

2. Цели и правовые основания обработки

Оператор обрабатывает ПДн исключительно для целей, указанных ниже, и в объёме, необходимом для их достижения.

• — Заключение и исполнение договора на условиях публичной оферты — основание: п. 5 ч. 1 ст. 6 152-ФЗ (исполнение договора, стороной которого является субъект).
• — Идентификация и аутентификация пользователя Личного кабинета, ведение учётной записи — основание: п. 5 ч. 1 ст. 6 152-ФЗ.
• — Расчёты, выставление актов, биллинговые уведомления, напоминания о состоянии Баланса — основание: п. 5 ч. 1 ст. 6 152-ФЗ.
• — Поддержка пользователей, обработка обращений и претензий — основание: п. 5 ч. 1 ст. 6 152-ФЗ; п. 7 ч. 1 ст. 6 152-ФЗ (защита законных интересов Оператора и пользователей).
• — Обеспечение информационной безопасности, предотвращение мошенничества и неправомерного доступа — основание: п. 7 ч. 1 ст. 6 152-ФЗ.
• — Рекламные и информационные сообщения — только при отдельно выраженном согласии (ст. 18 38-ФЗ «О рекламе») по соглашению о рассылках; основание — п. 1 ч. 1 ст. 6 152-ФЗ (согласие субъекта).
• — Исполнение требований законодательства РФ — основание: п. 2 ч. 1 ст. 6 152-ФЗ (обработка в целях, предусмотренных законом).

3. Состав обрабатываемых данных

• — ФИО, дата рождения, паспортные данные, адрес, телефон, e-mail (профиль физического лица).
• — Реквизиты ИП и юридического лица, ФИО подписанта, должность — при указании в Личном кабинете.
• — Учётные данные: логин (e-mail), хеш пароля, признаки двухфакторной аутентификации, идентификаторы Ключей доступа S3 API.
• — Технические данные сессий: IP-адрес, время входа, идентификаторы устройства, тип браузера, операционная система, журнал действий в Личном кабинете.
• — Сведения о пополнениях Баланса и движениях по лицевому счёту. Полные реквизиты банковских карт (включая номер карты, CVV/CVC, срок действия) Оператор не получает и не хранит: расчёты по картам выполняются на стороне банка-эквайера; Оператору доступны только статусы платежей и обезличенные идентификаторы операций.
• — Переписка с поддержкой и приложенные файлы, если Клиент их направляет.
• — Cookies и аналогичные технологии: cookies сессии, технические cookies аутентификации, cookies безопасности (CSRF), cookies сервиса Яндекс.Метрика на публичной витрине при включённом счётчике. Подробнее — раздел 4.
• — Биометрические и специальные категории ПДн Оператор не запрашивает и не предлагает Клиенту предоставлять в учётной записи. Если такие данные оказываются в составе Контента, размещённого Клиентом в хранилище, Клиент выступает в отношении них оператором в значении 152-ФЗ и самостоятельно обеспечивает законность их обработки (согласие субъекта, уведомление Роскомнадзора, повышенные меры защиты, трансграничная передача). Оператор хранит такие данные как часть Контента в техническом смысле, не осуществляет их обработку для собственных целей и применяет к ним общие меры безопасности, установленные для Услуги.

Контент, размещаемый Клиентом в хранилище S3, Оператором как ПДн третьих лиц не обрабатывается: правовые основания обработки таких данных и ответственность за их законность определяет Клиент. См. раздел 8 (поручение обработки).

Фиксация согласия. При получении согласия от субъекта ПДн (например, на рекламные рассылки или необязательные cookies) Оператор фиксирует факт согласия с указанием момента его дачи. Технические сведения о сессии, в которой было выражено согласие, могут храниться в служебных журналах в объёме и сроки, необходимые для последующего подтверждения факта согласия в порядке п. 4 ст. 9 152-ФЗ.

4. Cookies и веб-аналитика

Оператор использует cookies, необходимые для функционирования Сайта и безопасности (сессия, аутентификация в Личном кабинете, CSRF). Такие cookies не требуют отдельного согласия и обрабатываются на основании п. 5 ч. 1 ст. 6 152-ФЗ.

Яндекс.Метрика. На публичной витрине Сайта (страницы вне Личного кабинета) при включённом счётчике используется сервис веб-аналитики Яндекс.Метрика (ООО «Яндекс», Российская Федерация, политика конфиденциальности Яндекса). Счётчик подключается в коде витрины и активируется на боевом контуре при задании идентификатора счётчика в настройках развёртывания; до активации скрипт Метрики не загружается.

Метрика может устанавливать cookies и собирать обезличенные и технические сведения о посещениях: IP-адрес, тип браузера и устройства, просмотренные страницы, источник перехода, клики и время на странице — в целях статистики посещаемости и улучшения Сайта. Обработка осуществляется на основании п. 1 ч. 1 ст. 6 152-ФЗ (согласие пользователя, выраженное продолжением использования Сайта после ознакомления с настоящей Политикой) и/или п. 7 ч. 1 ст. 6 152-ФЗ (законный интерес Оператора в анализе работы витрины). Отключить cookies аналитики можно в настройках браузера; это может ограничить корректность статистики, но не влияет на работу Личного кабинета.

Прочие системы. Google Analytics и иные зарубежные системы веб-аналитики на Сайте не используются. Верификация сайта в Яндекс.Вебмастере и уведомления поисковых систем через протокол IndexNow не являются поведенческой аналитикой и не устанавливают cookies отслеживания посетителей в смысле настоящего раздела.

5. Локализация, сроки и способы обработки

Базы ПДн граждан Российской Федерации размещаются на территории Российской Федерации в собственной инфраструктуре Оператора (ч. 5 ст. 18 152-ФЗ). Обработка осуществляется как с использованием средств автоматизации, так и без таковых.

Сроки хранения:

• — ПДн профиля и учётной записи — на период действия договора и в течение установленных законом сроков после его прекращения;
• — расчётные документы, акты — в течение сроков, установленных бухгалтерским и налоговым законодательством РФ;
• — технические журналы — в течение сроков, необходимых для расследования инцидентов и установленных применимым законодательством;
• — ПДн, обрабатываемые на основании согласия (рекламные рассылки, cookies аналитики) — до отзыва согласия.

Трансграничная передача ПДн не осуществляется. Все подрядчики, обрабатывающие ПДн по поручению Оператора (платёжные провайдеры, банк-эквайер, сервисы доставки электронной почты, регистратор и DNS), размещены на территории Российской Федерации и работают по законодательству РФ. Если в будущем потребуется привлечение подрядчика, обрабатывающего ПДн за пределами Российской Федерации, Оператор уведомит Роскомнадзор в порядке ст. 12 152-ФЗ и опубликует соответствующие сведения в настоящем разделе.

6. Меры защиты

Оператор применяет правовые, организационные и технические меры, направленные на обеспечение безопасности ПДн при их обработке, в том числе:

• — назначение ответственного за организацию обработки ПДн; локальные акты, регулирующие обработку;
• — ограничение и разграничение доступа сотрудников к ПДн по принципу минимально необходимых прав;
• — журналирование действий, регулярный анализ событий безопасности;
• — криптографическая защита каналов передачи данных (TLS/HTTPS) при работе с Сайтом и Личным кабинетом;
• — парольная политика и средства аутентификации, защита от подбора (rate-limit, антифрод);
• — резервное копирование служебных данных учётных записей и баз биллинга;
• — регулярная инвентаризация программных средств и контроль состава обрабатываемых ПДн.

7. Передача третьим лицам

Оператор не продаёт ПДн третьим лицам и не передаёт их в маркетинговых целях вне отдельно полученного согласия. Передача возможна:

• — подрядчикам Оператора (платёжные провайдеры/банки-эквайеры, сервисы электронной почты для отправки сервисных сообщений) — на основании договора поручения и только в объёме, необходимом для оказания Услуги;
• — уполномоченным органам государственной власти РФ — в случаях и порядке, установленных законом;
• — правопреемникам Оператора при реорганизации или передаче бизнеса — с уведомлением субъектов.

Все подрядчики, обрабатывающие ПДн по поручению Оператора, обязаны соблюдать требования 152-ФЗ и обеспечивать конфиденциальность.

8. Поручение обработки ПДн на стороне Клиента

Если Клиент размещает в хранилище s3data персональные данные третьих лиц (своих пользователей, сотрудников, контрагентов), он самостоятельно является оператором этих ПДн в значении 152-ФЗ и самостоятельно обеспечивает законность их обработки (согласия, цели, сроки, права субъектов, уведомления Роскомнадзора, локализацию, меры защиты).

Поручение обработки оформлено автоматически. С момента первого размещения Клиентом в хранилище персональных данных третьих лиц считается заключённым поручение обработки на условиях Приложения № 1 к публичной оферте (ч. 3 ст. 6 152-ФЗ): Оператор выступает лицом, осуществляющим обработку по поручению (процессором), Клиент — оператором этих ПДн. Отдельная подпись на бумаге не требуется. По письменному запросу Оператор предоставляет Клиенту подписанный со стороны Оператора экземпляр поручения — например, для внутреннего документооборота или предъявления в ходе проверок Роскомнадзора. Запрос — на info@s3data.ru.

9. Права субъекта ПДн

Субъект ПДн вправе:

• — получать сведения, касающиеся обработки его ПДн (ст. 14 152-ФЗ);
• — требовать уточнения, блокирования или уничтожения ПДн, если они являются неполными, устаревшими, неточными или избыточными;
• — отзывать согласие в части, в которой обработка основана на согласии;
• — обжаловать действия (бездействие) Оператора в Роскомнадзоре или в суде.

Запросы направляются на info@s3data.ru или почтой на адрес Оператора. Срок ответа — до 10 рабочих дней с даты получения запроса, если иной срок не установлен законом. Оператор вправе запросить дополнительные сведения для идентификации субъекта.

10. Ответственность и разграничение ролей

Оператор отвечает за обработку ПДн, осуществляемую им в целях, описанных в разделе 2. Оператор не несёт ответственности за законность и порядок обработки ПДн третьих лиц, осуществляемой Клиентом самостоятельно с использованием Услуги. Соответствующие обязательства Клиента закреплены в разделах 7–9 публичной оферты.

11. Изменения политики

Актуальная редакция Политики размещается по адресу https://s3data.ru/legal/privacy. При существенных изменениях Клиенты уведомляются в Личном кабинете и/или по e-mail из учётной записи не позднее, чем за 15 календарных дней до даты вступления изменений в силу.