1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных в ООО «ПМПЛАН» (далее — «Компания») и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ»), а также иными нормативными правовыми актами Российской Федерации в области персональных данных.
1.2. Политика распространяется на обработку персональных данных, осуществляемую Компанией с использованием средств автоматизации и без использования таких средств, в том числе при использовании сайта pmplan.ru и его поддоменов, веб-приложения PMPlan и мобильного приложения PMPlan для Android и iOS (совместно — «Сервис»).
1.3. Реквизиты Компании:
- Полное наименование: Общество с ограниченной ответственностью «ПМПЛАН»
- ИНН: 7814829872, КПП: 781401001
- Адрес: 197349, г. Санкт-Петербург, вн. тер. г. муниципальный округ Озеро Долгое, пр-кт Королёва, д. 28, литера А
- Адрес электронной почты: info@pmplan.ru
1.4. В Компании назначено лицо, ответственное за организацию обработки персональных данных (ст. 22.1 Закона № 152-ФЗ). Связь с ответственным лицом осуществляется по адресу info@pmplan.ru с пометкой «Персональные данные».
1.5. Основные принципы обработки: законность и справедливость; обработка только для заявленных целей; соответствие содержания и объема данных заявленным целям; недопустимость избыточности; достоверность и актуальность; хранение не дольше, чем этого требуют цели обработки.
1.6. Действующая версия Политики размещена по адресу https://pmplan.ru/privacy и доступна неограниченному кругу лиц.
2. Термины
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).
2.2. Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
2.3. Оператор — лицо, самостоятельно или совместно с другими лицами организующее обработку персональных данных и определяющее ее цели и состав.
2.4. Обработка по поручению — обработка персональных данных лицом, действующим по поручению оператора на основании договора, в объеме и на условиях такого поручения (ч. 3 ст. 6 Закона № 152-ФЗ).
2.5. Пользователь — физическое лицо, использующее Сервис или посещающее сайт Компании.
2.6. Заказчик — юридическое лицо или индивидуальный предприниматель, заключивший с Компанией договор, в том числе договор-оферту, на использование Сервиса.
3. Роли Компании при обработке персональных данных
Это ключевой раздел Политики. Компания выступает в двух различных ролях, и объем ее обязанностей в каждой из них различен.
3.1. Компания как оператор. В отношении персональных данных посетителей сайта, лиц, направивших обращение или заявку, представителей и контактных лиц Заказчиков, а также лиц, регистрирующих Аккаунт, Компания выступает оператором и самостоятельно определяет цели и состав обработки. Настоящая Политика в полном объеме применяется к этой категории данных.
3.2. Компания как лицо, осуществляющее обработку по поручению. В отношении персональных данных работников Заказчика, контактных лиц его клиентов, поставщиков и иных контрагентов, а также иных лиц, сведения о которых Заказчик или его Пользователи самостоятельно вносят в Сервис (учетные записи работников, сведения о выполненных производственных операциях и затраченном времени, данные заказов, отгрузок и снабжения), оператором является Заказчик. Компания обрабатывает такие данные исключительно по поручению Заказчика на основании договора, в объеме и целях, определенных Заказчиком, и не определяет самостоятельно цели их обработки.
3.3. В отношении данных, указанных в п. 3.2:
- обязанность получения согласий субъектов персональных данных и информирования их об обработке лежит на Заказчике как на операторе;
- ответственность перед субъектами персональных данных несет Заказчик (ч. 5 ст. 6 Закона № 152-ФЗ);
- Компания несет ответственность перед Заказчиком в объеме, установленном договором;
- запросы субъектов персональных данных, касающиеся таких данных, направляются Заказчику. При поступлении такого запроса в Компанию он перенаправляется Заказчику, о чем субъект уведомляется.
3.4. Компания не использует данные, указанные в п. 3.2, в собственных целях, не передает их третьим лицам без поручения Заказчика и не формирует на их основе клиентские базы, за исключением обезличенных агрегированных статистических сведений, не позволяющих идентифицировать субъекта.
4. Категории субъектов и состав обрабатываемых данных
4.1. Посетители сайта: IP-адрес, сведения о браузере и устройстве, операционная система, источник перехода, просмотренные страницы, действия на страницах, дата и время посещения, идентификаторы cookies.
4.2. Лица, направившие заявку, обращение или запрос демонстрации: фамилия и имя, адрес электронной почты, номер телефона, наименование организации, должность, содержание обращения.
4.3. Представители и контактные лица Заказчиков, Пользователи с правами администратора: фамилия, имя, отчество, адрес электронной почты, номер телефона, должность, наименование организации, идентификатор учетной записи, сведения о действиях в Сервисе (журналы доступа), IP-адрес.
4.4. Работники и контрагенты Заказчика (обработка по поручению, п. 3.2): фамилия, имя, отчество, должность и подразделение, логин учетной записи, контактные данные, сведения о выполненных производственных операциях и затраченном времени, иные сведения, самостоятельно вносимые Заказчиком.
4.5. Пользователи мобильного приложения PMPlan: поддомен компании, логин и токены авторизации — хранятся на устройстве Пользователя и передаются только на сервер Сервиса его компании для входа; сведения о действиях в Сервисе (журналы доступа). Камера устройства используется только для сканирования QR-кодов на наклейках; изображения с камеры не сохраняются и не передаются. Мобильное приложение не определяет местоположение, не содержит рекламы и сторонних систем аналитики и не отслеживает Пользователя в других приложениях и на сайтах. Обновления приложения загружаются с сервера Сервиса компании Пользователя.
4.6. Получатели информационных и рекламных рассылок: фамилия и имя, адрес электронной почты, сведения о взаимодействии с рассылкой.
4.7. Компания не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни), а также биометрические персональные данные. Заказчикам запрещено вносить такие данные в Сервис.
4.8. Компания не обрабатывает персональные данные несовершеннолетних. Сервис предназначен для использования в предпринимательской деятельности.
5. Цели и правовые основания обработки
| Цель обработки | Категории данных | Правовое основание |
|---|---|---|
| Регистрация Аккаунта, предоставление доступа к Сервису, в том числе через мобильное приложение, исполнение договора | п. 4.3, 4.5 | п. 5 ч. 1 ст. 6 Закона № 152-ФЗ — исполнение договора, стороной которого является субъект либо выгодоприобретателем по которому он является |
| Обработка обращений, заявок, запросов демонстрации, техническая поддержка | п. 4.2, 4.3 | п. 1 ч. 1 ст. 6 — согласие субъекта; п. 5 ч. 1 ст. 6 — действия для заключения договора по инициативе субъекта |
| Расчеты, выставление счетов, бухгалтерский и налоговый учет | п. 4.3 | п. 2 ч. 1 ст. 6 — исполнение обязанностей, возложенных законодательством |
| Обеспечение работоспособности и безопасности Сервиса, выявление и расследование инцидентов, предотвращение мошенничества | п. 4.1, 4.3, 4.5 | п. 7 ч. 1 ст. 6 — законные интересы Компании при условии ненарушения прав субъекта |
| Улучшение сайта, веб-аналитика, статистика посещаемости | п. 4.1 | п. 1 ч. 1 ст. 6 — согласие субъекта, выраженное в том числе через настройки браузера (раздел 10) |
| Направление информационных и рекламных материалов | п. 4.6 | п. 1 ч. 1 ст. 6 — согласие субъекта; ст. 18 Федерального закона «О рекламе» |
| Планирование и учет производства, складской учет, учет выполненных работниками Заказчика операций | п. 4.4 | ч. 3 ст. 6 — обработка по поручению Заказчика; правовое основание определяет Заказчик как оператор |
5.1. Компания не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки персональных данных.
5.2. Компания не осуществляет обработку персональных данных в целях, несовместимых с указанными в настоящем разделе.
6. Способы и перечень действий с персональными данными
6.1. Обработка осуществляется с использованием средств автоматизации, а также без использования таких средств.
6.2. Компания совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в случаях, предусмотренных настоящей Политикой, обезличивание, блокирование, удаление, уничтожение.
6.3. Компания не осуществляет распространение персональных данных, в том числе не размещает их в общедоступных источниках.
7. Сроки обработки и хранения. Уничтожение данных
7.1. Персональные данные обрабатываются не дольше, чем этого требуют цели обработки:
| Категория | Срок |
|---|---|
| Данные Аккаунта и представителей Заказчика | В течение срока действия договора и 30 календарных дней после его прекращения |
| Данные работников и контрагентов Заказчика (обработка по поручению) | В течение срока действия договора и 30 календарных дней после прекращения доступа; далее удаляются безвозвратно |
| Данные авторизации в мобильном приложении на устройстве Пользователя | До выхода из учетной записи или удаления приложения |
| Заявки, обращения, переписка с потенциальными клиентами | 1 год с даты последнего взаимодействия |
| Данные бухгалтерского и налогового учета | 5 лет в соответствии с Федеральным законом «О бухгалтерском учете» и Налоговым кодексом РФ |
| Данные для рассылок | До отзыва согласия |
| Журналы доступа и технические логи | 12 месяцев |
| Cookies | В соответствии со сроком жизни конкретного файла |
7.2. По достижении цели обработки, а также в случае отзыва согласия или выявления неправомерной обработки персональные данные подлежат уничтожению в срок, не превышающий 30 дней, если иное не предусмотрено законодательством или договором.
7.3. Факт уничтожения персональных данных подтверждается актом об уничтожении и выгрузкой из журнала регистрации событий в информационной системе, оформляемыми в порядке, установленном уполномоченным органом.
7.4. Вместо уничтожения Компания вправе осуществить обезличивание персональных данных, если это позволяет достичь целей обработки.
8. Передача персональных данных третьим лицам
8.1. Компания не продает персональные данные и не передает их третьим лицам, за исключением случаев, указанных в настоящем разделе.
8.2. Передача осуществляется следующим категориям получателей, привлеченным Компанией на основании договоров, содержащих обязательства по обеспечению конфиденциальности и безопасности персональных данных:
- операторы центров обработки данных и хостинг-провайдеры, обеспечивающие размещение инфраструктуры Сервиса на территории Российской Федерации;
- операторы связи и сервисы доставки сообщений (электронная почта, SMS, мессенджеры) — в объеме, необходимом для направления уведомлений;
- платежные сервисы и кредитные организации — в объеме, необходимом для проведения расчетов;
- системы веб-аналитики — в объеме, указанном в разделе 10;
- лица, оказывающие Компании бухгалтерские, аудиторские и юридические услуги.
8.3. Передача персональных данных Заказчикам осуществляется в отношении данных их собственных Пользователей в рамках функциональности Сервиса.
8.4. Персональные данные могут быть предоставлены государственным органам по мотивированному запросу в случаях и в порядке, установленных законодательством Российской Федерации.
8.5. Компания вправе привлекать третьих лиц к обработке персональных данных по поручению при условии соблюдения ими требований Закона № 152-ФЗ. Ответственность перед субъектом за действия таких лиц несет Компания.
9. Место обработки. Трансграничная передача
9.1. Обработка и хранение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона № 152-ФЗ).
9.2. Компания не осуществляет трансграничную передачу персональных данных.
9.3. В случае если трансграничная передача станет необходимой, Компания направит соответствующее уведомление в уполномоченный орган до начала такой передачи и внесет изменения в настоящую Политику.
10. Файлы cookies и веб-аналитика
10.1. Сайт pmplan.ru использует файлы cookies — небольшие текстовые файлы, сохраняемые в браузере Пользователя.
10.2. Используемые категории:
- Строго необходимые — обеспечивают работу сайта, авторизацию и безопасность сессии. Отключение невозможно без потери работоспособности Сервиса.
- Аналитические — собирают статистику посещаемости и поведения на сайте.
10.3. На сайте pmplan.ru используется система веб-аналитики Яндекс.Метрика (ООО «ЯНДЕКС»), включая инструменты «Вебвизор» и «Карта кликов». Данные обрабатываются на условиях, установленных правообладателем сервиса. Иные системы веб-аналитики Компанией не используются. В веб-приложении и мобильном приложении PMPlan системы веб-аналитики не используются.
10.4. Пользователь вправе в любой момент отказаться от аналитических cookies, изменив настройки браузера или установив блокировщик Яндекс.Метрики, предоставляемый ООО «ЯНДЕКС». Продолжая использовать сайт без изменения таких настроек, Пользователь выражает согласие на использование аналитических cookies. Отказ от строго необходимых cookies может привести к невозможности использования отдельных функций Сервиса.
11. Меры по обеспечению безопасности персональных данных
11.1. Компания принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона № 152-ФЗ, в том числе:
- назначено лицо, ответственное за организацию обработки персональных данных;
- утверждены локальные акты, определяющие порядок обработки и защиты персональных данных, а также порядок реагирования на инциденты;
- определены угрозы безопасности и установлен требуемый уровень защищенности информационной системы в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119;
- применяются средства защиты информации, прошедшие процедуру оценки соответствия в установленном порядке;
- реализовано разграничение прав доступа: доступ к персональным данным предоставляется только работникам, которым он необходим для выполнения трудовых обязанностей;
- передача данных между Пользователем и Сервисом осуществляется по защищенным каналам с использованием шифрования (TLS);
- ведется журналирование действий в информационной системе и учет носителей персональных данных;
- осуществляется регулярное резервное копирование;
- работники, имеющие доступ к персональным данным, ознакомлены с требованиями законодательства и подписали обязательства о неразглашении;
- осуществляется внутренний контроль соответствия обработки требованиям законодательства.
11.2. Компания предпринимает необходимые меры для защиты данных, однако Пользователь признает, что передача информации через сеть Интернет не может быть гарантированно защищена от неправомерного доступа третьих лиц. Пользователь обязан обеспечивать конфиденциальность своих учетных данных и незамедлительно уведомлять Компанию об их возможной компрометации.
11.3. При выявлении инцидента, повлекшего неправомерную передачу персональных данных, Компания уведомляет уполномоченный орган в течение 24 часов с момента выявления и направляет результаты внутреннего расследования в течение 72 часов. Если инцидент затрагивает данные, обрабатываемые по поручению Заказчика, Компания уведомляет Заказчика в сроки, установленные договором.
12. Права субъекта персональных данных
12.1. Субъект персональных данных вправе:
- получать сведения об обработке своих персональных данных, предусмотренные ч. 7 ст. 14 Закона № 152-ФЗ;
- требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных;
- возражать против обработки в целях продвижения товаров и услуг;
- обжаловать действия Компании в Роскомнадзор или в судебном порядке.
12.2. Запрос направляется на адрес info@pmplan.ru либо по почтовому адресу Компании и должен содержать: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Компанией (номер договора, адрес электронной почты, использованный при регистрации), либо иные сведения, подтверждающие факт обработки; подпись субъекта или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью.
12.3. Компания рассматривает запрос и направляет ответ в течение 10 рабочих дней с даты его получения. Указанный срок может быть продлен не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.
12.4. Компания вправе отказать в предоставлении сведений в случаях, предусмотренных ч. 8 ст. 14 Закона № 152-ФЗ, с обоснованием отказа.
12.5. Отзыв согласия. Согласие может быть отозвано направлением уведомления на info@pmplan.ru либо, для рекламных рассылок, переходом по ссылке отписки в письме. Компания прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней с даты получения отзыва, за исключением случаев, когда обработка допускается без согласия субъекта (исполнение договора, исполнение обязанностей, возложенных законодательством, защита прав Компании). Отзыв согласия может повлечь невозможность предоставления доступа к Сервису.
12.6. Удаление учетной записи. Учетные записи работников в Сервисе создает и удаляет администратор Заказчика. Для удаления своей учетной записи и связанных с ней данных Пользователь обращается к администратору своей компании либо направляет запрос на info@pmplan.ru — в этом случае Компания передает его Заказчику в соответствии с п. 3.3.
12.7. В отношении данных, обрабатываемых по поручению Заказчика (п. 3.2), права субъекта реализуются через Заказчика как оператора.
13. Действия при выявлении неправомерной обработки
13.1. При выявлении неправомерной или случайной обработки персональных данных Компания в срок, не превышающий 3 рабочих дней с даты выявления, осуществляет блокирование соответствующих данных.
13.2. При подтверждении факта неправомерной обработки Компания в срок, не превышающий 3 рабочих дней, устраняет нарушение либо уничтожает данные и уведомляет об этом субъекта, а при необходимости — уполномоченный орган.
13.3. В случае выявления неточных персональных данных Компания блокирует их и в срок, не превышающий 7 рабочих дней с даты представления подтверждающих сведений, уточняет данные и снимает блокирование.
14. Изменение Политики
14.1. Компания вправе вносить изменения в настоящую Политику. Новая версия размещается по адресу https://pmplan.ru/privacy с указанием даты вступления в силу.
14.2. Ранее действовавшие версии Политики сохраняются и предоставляются по запросу с указанием периодов их действия.
14.3. Продолжение использования Сервиса после вступления в силу новой версии означает согласие Пользователя с внесенными изменениями в части, в которой обработка осуществляется на основании согласия.
15. Контакты
По вопросам обработки персональных данных, для направления запросов и отзыва согласия:
- Электронная почта: info@pmplan.ru
- Почтовый адрес: 197349, г. Санкт-Петербург, вн. тер. г. муниципальный округ Озеро Долгое, пр-кт Королёва, д. 28, литера А
- Наименование: ООО «ПМПЛАН», ИНН 7814829872
Надзорный орган: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).