1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки и меры по обеспечению безопасности персональных данных, предпринимаемые Индивидуальным предпринимателем Романовой Марией Сергеевной (далее — Оператор).
1.2. Настоящая Политика применяется ко всей информации, которую Оператор может получить:
1.3. Политика является общедоступным документом и размещается в свободном доступе на интернет-ресурсах Оператора по адресу: https://sleepbabyandmom.online/privacy.
1.4. Оператор не имеет штатных сотрудников, не является государственным или муниципальным органом.
1.5. Обработка персональных данных осуществляется на принципах:
2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
2.2. Оператор — Индивидуальный предприниматель Романова Мария Сергеевна, самостоятельно организующая и осуществляющая обработку персональных данных, определяющая цели обработки, состав данных, подлежащих обработке, а также совершаемые с ними действия.
2.3. Субъект персональных данных — физическое лицо, персональные данные которого обрабатываются Оператором (пользователь, клиент, подписчик, посетитель мероприятий).
2.4. Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными с использованием средств автоматизации или без их использования, включая: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
3.1. Оператор обрабатывает следующие категории персональных данных субъектов:
Данные, указанные в п. 3.1.2, сами по себе не являются персональными, но обрабатываются в связке с идентификатором пользователя и позволяют идентифицировать ребёнка и его законного представителя в рамках сервиса.
3.2. Оператор не обрабатывает биометрические персональные данные.
| № | Цель обработки | Обрабатываемые данные | Правовое основание |
|---|---|---|---|
| 4.1. | Заключение и исполнение договора оказания информационных услуг (платные тарифы «Сонни») | Имя пользователя, tg_id, дата рождения ребёнка | п. 5 ч. 1 ст. 6 Закона № 152-ФЗ — исполнение договора |
| 4.2. | Обратная связь и консультирование по заявкам (чат поддержки, «Сонни-консультант») | Имя пользователя, tg_id | Согласие субъекта (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ) |
| 4.3. | Ведение учёта и формирование чеков (в соответствии с требованиями налогового законодательства) | Имя пользователя, email, идентификатор платежа | п. 2 ч. 1 ст. 6 Закона № 152-ФЗ — исполнение требований закона |
| 4.4. | Направление информационных и рекламных рассылок (через контент-бот @Sleep_baby_mom_bot) | Имя пользователя, tg_id, email | Согласие субъекта (отдельное согласие на рассылку) |
5.1. Правовыми основаниями обработки персональных данных являются:
5.2. Оператор обрабатывает персональные данные только при наличии хотя бы одного из следующих условий: наличие согласия субъекта персональных данных; обработка необходима для исполнения договора, стороной которого является субъект; обработка необходима для соблюдения требований федерального закона; обработка необходима для осуществления прав и законных интересов Оператора (при условии, что при этом не нарушаются права и свободы субъекта).
6.1.1. Персональные данные могут быть получены Оператором следующими способами: дистанционно — при запуске бота в Telegram, заполнении форм на сайте, через мессенджеры (Telegram, MAX), по электронной почте, в ходе онлайн-консультаций; при личном обращении — в ходе очных консультаций и мероприятий.
6.1.2. Оператор не проверяет достоверность персональных данных, предоставляемых субъектом. Субъект несёт ответственность за достоверность предоставленных сведений.
6.2.1. Оператор не передаёт персональные данные третьим лицам, за исключением случаев, прямо предусмотренных: федеральным законом (в том числе по запросу суда, прокуратуры, органов следствия, полиции, налоговых органов); с письменного согласия субъекта персональных данных.
6.2.2. При привлечении третьих лиц для исполнения обязательств перед субъектом Оператор передаёт только те персональные данные, которые минимально необходимы для оказания услуги, и только в объёме, согласованном с субъектом.
6.2.3. Передача данных осуществляется следующим третьим лицам:
6.2.4. При привлечении третьих лиц для обработки персональных данных Оператор заключает с такими лицами договор поручения на обработку персональных данных в соответствии с ч. 3 ст. 6 Федерального закона № 152-ФЗ.
6.3.1. Персональные данные хранятся: в электронном виде — на серверах Оператора (VPS Timeweb Cloud, г. Москва, Россия), в облачных сервисах (с обеспечением парольной защиты), в почтовых системах; в бумажном виде — в виде договоров, актов, анкет (хранятся в запираемом шкафу/сейфе).
6.3.2. Срок хранения персональных данных: основной срок — в течение срока действия договора с субъектом, а после прекращения договора — до истечения сроков, установленных законодательством для хранения документов, подтверждающих оказание услуг; для налоговых документов — в соответствии со сроками, установленными законодательством (не менее 5 лет); для данных об оплате — в течение срока, необходимого для разрешения возможных споров по платежам (не более 3 лет).
6.3.3. По истечении срока хранения либо при достижении целей обработки персональные данные уничтожаются способом, исключающим их восстановление.
6.3.4. Удаление данных по запросу субъекта осуществляется в течение 30 (тридцати) календарных дней с даты получения соответствующего обращения.
6.4.1. Оператор принимает следующие меры для защиты персональных данных: ограничение доступа к персональным данным (только сам Оператор и уполномоченные лица); использование антивирусного ПО (встроенная защита macOS: XProtect, Gatekeeper, System Integrity Protection); парольная защита устройств и учётных записей; доступ к серверу — только по SSH-ключу (парольный доступ отключён); изоляция приложения в Docker-контейнере на сервере; шифрование данных при передаче по открытым каналам (TLS); двухфакторная аутентификация (при наличии технической возможности).
6.5.1. Согласие субъекта на обработку персональных данных получается Оператором в порядке, установленном статьёй 9 Федерального закона № 152-ФЗ.
6.5.2. Согласие даётся путём совершения активного действия — проставления отметки (галочки) в чек-боксе при регистрации в приложении.
6.5.3. Для пользователей, начавших пользоваться сервисом до введения механизма получения явного согласия, предусмотрен отдельный экран согласия, блокирующий интерфейс до подтверждения. Момент согласия фиксируется в базе данных с меткой времени.
6.5.4. Согласие на обработку персональных данных, разрешённых субъектом для распространения, оформляется отдельным документом и содержит все обязательные сведения, предусмотренные ч. 4 ст. 9 Федерального закона № 152-ФЗ.
7.1. Оператор обрабатывает персональные данные несовершеннолетних только при наличии согласия законного представителя (родителя, усыновителя, опекуна).
7.2. Согласие законного представителя получается путём проставления отметки (галочки) в чек-боксе при регистрации профиля ребёнка. Без подтверждения согласия профиль ребёнка не создаётся (проверка осуществляется как на клиентской, так и на серверной стороне).
7.3. Ответственность за наличие и достоверность согласия законного представителя несёт лицо, регистрирующее профиль ребёнка.
Субъект персональных данных имеет право:
8.1. Получать информацию, касающуюся обработки его персональных данных, в том числе:
8.2. Требовать уточнения (обновления, изменения) своих персональных данных, если они являются неполными, устаревшими или неточными.
8.3. Требовать блокирования или уничтожения персональных данных, если они обрабатываются с нарушением закона.
8.4. Отозвать согласие на обработку персональных данных в любое время.
8.5. Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.
9.1. Для отзыва согласия или реализации иных прав субъект персональных данных направляет письменное обращение на адрес электронной почты Оператора: id_vs_ego@mail.ru или почтовым отправлением по адресу регистрации Оператора.
9.2. В обращении необходимо указать: фамилию, имя, отчество субъекта; контактные данные для обратной связи; суть обращения (отзыв согласия, уточнение данных и т.п.); способ направления ответа.
9.3. Срок рассмотрения обращения — 10 (десять) рабочих дней с момента его получения.
9.4. В случае отзыва согласия Оператор вправе продолжить обработку персональных данных при наличии оснований, предусмотренных законодательством Российской Федерации (в том числе для исполнения налоговых обязательств).
Оператор обязан:
10.1. Предоставлять субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных, в порядке и сроки, установленные Законом № 152-ФЗ.
10.2. Отвечать на обращения и запросы субъектов персональных данных в течение 10 (десяти) рабочих дней с даты получения запроса.
10.3. Принимать меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, копирования, распространения.
10.4. Прекратить обработку и уничтожить персональные данные в порядке и случаях, предусмотренных Законом № 152-ФЗ.
10.5. Уведомлять субъекта персональных данных об уточнении, блокировании или уничтожении данных в течение 10 (десяти) рабочих дней с момента принятия соответствующего решения.
11.1. Оператор обязан не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
11.2. Обязательство по соблюдению конфиденциальности сохраняет силу после прекращения отношений между Оператором и субъектом персональных данных.
12.1. Оператор не осуществляет трансграничную передачу персональных данных, то есть не передаёт персональные данные на территорию иностранных государств, иностранным физическим лицам или иностранным юридическим лицам.
12.2. Все персональные данные обрабатываются и хранятся исключительно на территории Российской Федерации. Основная база данных размещена на VPS Timeweb Cloud (г. Москва, Россия).
12.3. В случае использования иностранных сервисов (Anthropic, США) для работы функции «Сонни-консультант» на сторону такого сервиса передаются только обезличенные данные (возраст ребёнка в месяцах, биологический пол ребёнка, текст вопроса без идентифицирующей информации), которые не позволяют идентифицировать субъекта персональных данных.
13.1. Персональные данные подлежат уничтожению в следующих случаях: достижение целей обработки персональных данных; истечение установленных сроков хранения; отзыв согласия субъекта на обработку персональных данных (если иное не предусмотрено законом); выявление неправомерной обработки персональных данных; ликвидация Оператора или прекращение им деятельности.
13.2. Уничтожение персональных данных осуществляется способом, исключающим их дальнейшее восстановление: для данных в электронной форме — безвозвратное удаление с использованием программных средств; для данных на бумажных носителях — уничтожение (измельчение, сожжение и т.п.) с составлением акта об уничтожении.
13.3. Об уничтожении персональных данных составляется акт, который хранится в течение срока, установленного законодательством.
14.1. При обнаружении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных (инцидент), Оператор обязан: в течение 24 часов уведомить уполномоченный орган (Роскомнадзор) о случившемся инциденте; в течение 72 часов направить в Роскомнадзор результаты внутреннего расследования и сведения о лицах, действия которых могли стать причиной инцидента.
14.2. Одновременно с уведомлением Роскомнадзора Оператор уведомляет субъектов персональных данных, чьи права были нарушены, о факте инцидента и принятых мерах.
14.3. В случае необходимости Оператор принимает меры по блокированию неправомерного доступа к персональным данным и их восстановлению (при возможности).
15.1. Настоящая Политика является общедоступным документом. Актуальная редакция Политики размещена на сайте Оператора по адресу: https://sleepbabyandmom.online/privacy.
15.2. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на сайте, если иное не предусмотрено новой редакцией.
15.3. Пользователь обязуется самостоятельно отслеживать изменения в Политике. Продолжение использования сайтов и сервисов Оператора после внесения изменений означает согласие Пользователя с новой редакцией Политики.
15.4. По всем вопросам, связанным с обработкой персональных данных, Пользователь может обратиться к Оператору по электронной почте: id_vs_ego@mail.ru.