Политика в отношении обработки персональных данных

Настоящая Политика определяет порядок обработки персональных данных Оператором и содержит сведения о реализуемых требованиях к их защите (ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», далее — 152-ФЗ).

Оператор — Индивидуальный предприниматель Джанкёзова Диана Алибековна, ИНН 090201316890, ОГРНИП 326090000001361, адрес: 369201, Россия, Карачаево-Черкесская Республика, г. Карачаевск, п. Мара-Аягъы, ул. Коммунистическая, д. 128. Адрес для обращений по вопросам обработки персональных данных — haku322@yandex.ru.

Политика распространяется на сервис «Маркирум» (markirum.ru) и его публичные страницы. Она описывает то, что действительно происходит в Сервисе: состав данных, сроки и получатели сверены с его устройством на дату редакции.

Политика действует с даты редакции, указанной в начале документа.

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (п. 1 ст. 3 152-ФЗ).
• Обработка — любое действие с персональными данными: сбор, запись, хранение, использование, передача, удаление и другие, перечисленные в разделе «Действия с данными и способы обработки».
• Сервис, Оператор, Пользователь, Клиент, Организация, ГИС МТ, УКЭП, компонент подписи — в значениях документа «Пользовательское соглашение».

Оператор обрабатывает персональные данные по принципам ст. 5 152-ФЗ:

• законно и справедливо, только для целей, названных в этой Политике;
• в минимальном объёме: Сервису не нужны паспортные данные, фотографии, сведения о здоровье и убеждениях;
• специальные категории и биометрические персональные данные не обрабатываются (ст. 10 и 11 152-ФЗ);
• данные не продаются и не используются для рекламы;
• данные хранятся не дольше, чем требуют цели обработки и закон, — см. раздел «Сроки хранения и уничтожение».

• Пользователи — владельцы, администраторы и операторы организаций в Сервисе;
• приглашённые сотрудники — до регистрации Оператор знает только адрес их электронной почты, указанный владельцем организации;
• владельцы сертификатов УКЭП, которыми в Сервисе выполняется вход в ГИС МТ и подписываются документы, — обычно это сам Пользователь или руководитель Клиента;
• лица, обратившиеся к Оператору по электронной почте или телефону;
• третьи лица, чьи данные оказались в данных организации (например, покупатель, оставивший комментарий к заказу), — их данные Оператор обрабатывает по поручению Клиента, см. раздел «Данные, которые Оператор обрабатывает по поручению Клиента».

Посетителей публичных страниц Сервис не отслеживает: счётчиков посещаемости и рекламных систем на сайте нет.

Коды маркировки, GTIN, каталог, заказы и поставки — данные Клиента, а не Пользователя. Если Клиент — индивидуальный предприниматель, часть этих сведений относится к нему как к физическому лицу, и Оператор обращается с ними как с персональными данными.

Рекламных и информационных рассылок Сервис не ведёт; данные не используются для профилирования и сравнения Клиентов между собой. Решения, порождающие юридические последствия для субъекта, на основании исключительно автоматизированной обработки не принимаются (ст. 16 152-ФЗ).

• В архитектуре Сервиса закрытый ключ УКЭП и PIN остаются на компьютере Пользователя. Основной компонент подписи — КриптоПро CSP с официальным КриптоПро ЭЦП Browser plug-in; PIN вводится в окне криптографического средства. Локальный помощник на 127.0.0.1 доступен только как явно выбранный резервный способ и передаёт на сервер готовую подпись.
• Что о сертификате попадает на сервер. Сервер получает отпечаток, поле «Субъект» и ИНН выбранного сертификата — чтобы показывать, чьей подписью открыт вход, — и саму подпись, в составе которой есть сертификат.
• Токен ГИС МТ выдаётся на 10 часов и хранится в зашифрованном виде (AES-256-GCM). В браузер, журналы и очереди задач он не попадает; выход из «Честного ЗНАКа» удаляет его.
• API-токен Wildberries хранится в зашифрованном виде (AES-256-GCM). Ключ шифрования хранится отдельно от базы данных, поэтому копия базы сама по себе токены не раскрывает. В браузер, журналы и очереди задач токен не попадает.

В данных организации могут встретиться персональные данные людей, которые не являются Пользователями: адреса электронной почты приглашённых сотрудников, сведения о владельцах сертификатов УКЭП, комментарий покупателя к сборочному заданию, если его передаёт Wildberries. Имена, телефоны и адреса покупателей Сервис у Wildberries не запрашивает и не использует.

Такие данные Оператор обрабатывает по поручению Клиента (ч. 3 ст. 6 152-ФЗ): только для работы Сервиса, в том объёме, в каком они пришли в Сервис, с соблюдением конфиденциальности и мер защиты из этой Политики. Законное основание для передачи этих данных Оператору обеспечивает Клиент.

Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) лицам из раздела «Кому передаются данные», блокирование, удаление и уничтожение.

Способ обработки — автоматизированная обработка с использованием средств вычислительной техники. Бумажных картотек с данными Пользователей у Оператора нет.

Оператор не продаёт персональные данные и не передаёт их для рекламы. Ниже — перечень лиц, которым данные передаются, с ролью каждого:

• «поручение обработки» — лицо обрабатывает данные по поручению Оператора и в его целях; перед субъектом за него отвечает Оператор (ч. 3 и 5 ст. 6 152-ФЗ);
• «самостоятельный оператор» — лицо обрабатывает данные в своих целях по своей политике;
• «по поручению пользователя» — данные уходят в систему, где у Клиента своя учётная запись, по команде Пользователя, под его токеном или его электронной подписью; получатель обрабатывает их как оператор своей системы.

Часть лиц ещё не названа — в таблице они указаны ролью с пометкой «уточняется». Оператор дополнит перечень наименованиями и реквизитами в новой редакции Политики.

Лицу, действующему по поручению Оператора, передаётся только тот объём данных, который нужен для порученной операции; поручение обязывает его соблюдать конфиденциальность и требования к защите данных.

Кроме того, данные предоставляются государственным органам по их мотивированным запросам в случаях и порядке, установленных законом.

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации выполняются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). По сведениям владельца Сервиса, его размещение обеспечивается Cloud.ru; конкретные регион, резервные копии и условия их жизненного цикла не публикуются без подтверждения договором и настройками.

Трансграничная передача персональных данных не заявлена. Место обработки почтового сервиса Яндекса требует подтверждения по договору и поэтому прямо отмечено в реестре. На формах регистрации, повторной отправки кода и сброса пароля загружается внешний скрипт Yandex SmartCaptcha с адреса Яндекса; он описан в реестре получателей и уведомлении SmartCaptcha. Счётчиков посещаемости и рекламных скриптов Сервис не использует.

Оператор не распространяет персональные данные — не раскрывает их неограниченному кругу лиц — и не запрашивает согласия на распространение (ст. 10.1 152-ФЗ). Данные организации видят только её сотрудники.

Сроки уничтожения, установленные ст. 21 152-ФЗ:

• при достижении цели обработки — не более 30 дней (ч. 4 ст. 21);
• при отзыве согласия, если иного основания для обработки нет, — не более 30 дней (ч. 5 ст. 21);
• при выявлении неправомерной обработки, которую невозможно сделать правомерной, — не более 10 рабочих дней (ч. 3 ст. 21).

Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

Раздел публикуется во исполнение ч. 2 ст. 18.1 152-ФЗ. Оператор принимает меры, предусмотренные ст. 18.1 и 19 152-ФЗ:

• определяет угрозы безопасности персональных данных и уровень их защищённости (постановление Правительства РФ от 01.11.2012 № 1119), оценивает вред, который может быть причинён субъектам (приказ Роскомнадзора от 27.10.2022 № 178); соответствующие документы предоставляются по запросу уполномоченного органа;
• весь сайт работает только по защищённому соединению (HTTPS), включая формы входа и регистрации;
• пароли хранятся только в виде необратимого хеша;
• API-токены Wildberries и токены ГИС МТ шифруются (AES-256-GCM); ключ хранится отдельно от базы данных, а запись привязана к организации: расшифровать её от имени другой организации невозможно;
• данные каждой организации отделены от чужих на уровне базы данных (политики построчного доступа), права сотрудников определяются ролью;
• закрытый ключ УКЭП не покидает компьютер Пользователя;
• внешний скрипт Yandex SmartCaptcha загружается только для защиты форм регистрации, повторной отправки кода и сброса пароля; счётчиков посещаемости и рекламных скриптов Сервис не использует;
• токены, пароли и ключи маскируются в технических журналах;
• действия, меняющие права и доступ, записываются в журнал действий организации;
• резервный дамп базы данных шифруется перед отправкой в хранилище;
• ведётся внутренний контроль соответствия обработки закону и этой Политике.

При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор в течение 24 часов уведомляет Роскомнадзор об инциденте, его предполагаемых причинах, вреде и принятых мерах, а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ). Затронутых Пользователей Оператор извещает по электронной почте.

Сервис ставит одну cookie — сессию входа, без которой невозможно войти, — и хранит несколько настроек интерфейса в хранилище браузера. Счётчиков посещаемости и рекламных cookie нет. Подробно — в документе «Политика использования cookie».

Субъект персональных данных вправе (ст. 14 152-ФЗ):

• получить сведения об обработке своих данных и ознакомиться с ними;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не нужны для заявленной цели;
• отозвать согласие на обработку — порядок описан в документе «Согласие на обработку персональных данных»;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

Что можно сделать в Сервисе самостоятельно:

• выйти из «Честного ЗНАКа» — токен ГИС МТ и сведения о сертификате текущего входа удаляются;
• отключить кабинет Wildberries (владелец организации) — удаляются токен, каталог, заказы и поставки кабинета;
• завершить сессию кнопкой выхода.

Остальные запросы, в том числе об удалении учётной записи или организации, направляйте на haku322@yandex.ru. Запрос должен позволять установить личность обратившегося и его связь с учётной записью. Оператор отвечает или направляет мотивированный отказ в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (ч. 1 ст. 20 152-ФЗ).

Отзыв согласия сам по себе не прекращает договор и не отменяет обработку, для которой есть иное основание. Оператор рассмотрит, какие данные необходимы для конкретной услуги или обязательны к хранению, сообщит последствия и прекратит только обработку, которая держалась исключительно на отозванном согласии.

Обязанность назначить ответственного за организацию обработки персональных данных закон возлагает на операторов — юридических лиц (ст. 22.1 152-ФЗ). Оператор — индивидуальный предприниматель, поэтому эти функции выполняет он сам: Индивидуальный предприниматель Джанкёзова Диана Алибековна. Обращения — haku322@yandex.ru, телефон +7 993 164-34-13, режим работы: понедельник–пятница, 10:00–19:00 (МСК).

Оператор вправе изменять Политику. Каждая содержательная правка — новая редакция с новой датой и номером версии; действующая редакция всегда опубликована по этому адресу. Если меняются состав данных, цели или перечень получателей, Оператор сообщает об этом Пользователям по электронной почте, а если требуется новое согласие — запрашивает его.

Наименование

Индивидуальный предприниматель Джанкёзова Диана Алибековна

ИНН

090201316890

ОГРНИП

326090000001361

Адрес

369201, Россия, Карачаево-Черкесская Республика, г. Карачаевск, п. Мара-Аягъы, ул. Коммунистическая, д. 128

Электронная почта

haku322@yandex.ru

Телефон

+7 993 164-34-13

Полные реквизиты — на странице «Реквизиты». Уполномоченный орган по защите прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).