1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее – Политика) разработана во исполнение пункта 2 части 1 и части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) и определяет цели, правовые основания, условия и порядок обработки персональных данных, а также меры по обеспечению их безопасности, применяемые оператором – индивидуальным предпринимателем Литвиновым Максимом Александровичем (ОГРНИП 317774600104315, ИНН 773475663295, адрес: 123154, г. Москва, Генерала Карбышева б-р, дом № 16, квартира 71) (далее – Оператор, ПРОФСАЛОН).

1.2. Политика применяется ко всем персональным данным, которые Оператор обрабатывает при использовании сайта https://profsalon.ru и его поддоменов (далее – Сайт), программы для ЭВМ «Система ПРОФСАЛОН», включая ее веб-интерфейс и мобильные приложения (далее – Программа), а также при взаимодействии с Оператором по телефону, электронной почте, в мессенджерах и иными способами (далее совместно – Сервисы).

1.3. Политика не является согласием на обработку персональных данных и не заменяет его. В случаях, когда обработка персональных данных осуществляется на основании согласия, такое согласие оформляется отдельно от Политики и иных документов в соответствии с частью 1 статьи 9 Закона о персональных данных.

1.4. Оператор включен в реестр операторов, осуществляющих обработку персональных данных, под регистрационным номером 77-22-088336. Лицо, ответственное за организацию обработки персональных данных: индивидуальный предприниматель Литвинов Максим Александрович, телефон 8-800-500-14-28, адрес электронной почты для обращений по вопросам обработки персональных данных: general@profsalon.org.

1.5. Политика публикуется в свободном доступе в сети Интернет на Сайте. Если отдельные положения Политики вступят в противоречие с законодательством Российской Федерации, применяются положения законодательства.

2. Основные термины

2.1. В Политике используются термины в значениях, установленных статьей 3 Закона о персональных данных, в том числе: персональные данные, оператор, обработка, автоматизированная обработка, распространение, предоставление, блокирование, уничтожение, обезличивание персональных данных, информационная система персональных данных, трансграничная передача персональных данных.

2.2. Лицензиат – юридическое лицо, индивидуальный предприниматель или физическое лицо (салон красоты, клиника, студия, частный мастер и т. п.), использующее Программу на основании лицензионного договора с Оператором. Клиенты Лицензиата – физические лица, персональные данные которых Лицензиат вносит в Программу (клиенты и потенциальные клиенты, работники и исполнители Лицензиата и иные лица).

3. Роли Оператора при обработке персональных данных

3.1. Оператор обрабатывает персональные данные в двух качествах:

3.1.1. как оператор – в отношении персональных данных посетителей Сайта, лиц, зарегистрировавшихся в Программе или обратившихся к Оператору, Лицензиатов – физических лиц и индивидуальных предпринимателей, представителей Лицензиатов и иных лиц, указанных в разделе 5 Политики. Цели и условия такой обработки определяются Оператором и изложены в Политике;

3.1.2. как лицо, осуществляющее обработку персональных данных по поручению оператора (часть 3 статьи 6 Закона о персональных данных), – в отношении персональных данных Клиентов Лицензиата, которые Лицензиат вносит в Программу. В этом случае оператором является Лицензиат: он определяет цели и состав обработки, обеспечивает наличие правовых оснований и несет ответственность перед субъектами персональных данных (часть 5 статьи 6 Закона о персональных данных). Оператор обрабатывает такие данные исключительно в соответствии с поручением Лицензиата, условия которого установлены Приложением № 1 к Лицензионному договору (https://profsalon.ru/licence-agreement), не использует их в собственных целях, в том числе для направления рекламы, и не передает третьим лицам, кроме случаев, предусмотренных поручением и законом.

3.2. Если вы являетесь клиентом салона, клиники или иной организации, которая пользуется Программой, и хотите узнать, как обрабатываются ваши данные, уточнить, отозвать согласие или удалить их, обратитесь к этой организации: именно она является оператором ваших данных. Если такое обращение поступит Оператору, Оператор в течение 3 (трех) рабочих дней перенаправит его соответствующему Лицензиату и сообщит об этом заявителю.

4. Принципы обработки персональных данных

4.1. Обработка персональных данных осуществляется на законной и справедливой основе; ограничивается достижением конкретных, заранее определенных и законных целей; не допускается обработка, несовместимая с целями сбора, и объединение баз данных, обработка которых осуществляется в несовместимых между собой целях. Обрабатываются только те персональные данные, которые отвечают целям обработки; их содержание и объем соответствуют заявленным целям. Оператор принимает меры по обеспечению точности персональных данных, а также хранит их не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором.

5. Цели обработки, категории субъектов, перечень персональных данных, правовые основания и сроки

5.1. Регистрация в Программе, предоставление пробного (демонстрационного) доступа, создание и ведение учетной записи.

Категории субъектов: лица, регистрирующиеся в Программе или оставляющие заявку на Сайте, в том числе владельцы, руководители и работники действующих и потенциальных Лицензиатов. Персональные данные: фамилия, имя, отчество; номер телефона; адрес электронной почты; наименование организации (салона), город, должность; логин и пароль (в хешированном виде). Правовое основание: согласие субъекта персональных данных (пункт 1 части 1 статьи 6 Закона о персональных данных); после заключения лицензионного договора – основания, указанные в пункте 5.2 Политики. Срок обработки: до отзыва согласия, но не более 3 (трех) лет с даты последнего входа в Программу либо последнего обращения к Оператору.

5.2. Заключение и исполнение лицензионного договора, расчеты, оформление закрывающих документов, ведение бухгалтерского и налогового учета.

Категории субъектов: Лицензиаты – физические лица и индивидуальные предприниматели; представители и работники Лицензиатов – юридических лиц. Персональные данные: фамилия, имя, отчество; номер телефона; адрес электронной почты; должность и сведения о полномочиях; для индивидуальных предпринимателей и физических лиц – ИНН, ОГРНИП, адрес, банковские реквизиты; сведения о приобретенных лицензиях, платежах и задолженности. Правовые основания: исполнение договора, стороной которого является субъект, и заключение договора по его инициативе (пункт 5 части 1 статьи 6 Закона о персональных данных); осуществление прав и законных интересов Оператора и Лицензиата при заключении и исполнении договора (пункт 7 части 1 статьи 6); исполнение обязанностей, возложенных законодательством, в том числе налоговым и о бухгалтерском учете (пункт 2 части 1 статьи 6). Срок обработки: в течение срока действия договора и 5 (пяти) лет после его прекращения, если более длительный срок не установлен законодательством.

5.3. Техническая поддержка, рассмотрение обращений, претензий и предложений.

Категории субъектов: лица, обратившиеся к Оператору. Персональные данные: фамилия, имя, отчество; контактные данные; содержание обращения и переписки; записи телефонных разговоров (при предварительном уведомлении о записи); идентификатор учетной записи. Правовые основания: пункты 5 и 7 части 1 статьи 6 Закона о персональных данных, а для лиц, не являющихся Лицензиатами или их представителями, – согласие субъекта. Срок обработки: 3 (три) года с даты последнего обращения; записи телефонных разговоров – не более 6 (шести) месяцев.

5.4. Направление информационных и рекламных сообщений о продуктах, услугах и мероприятиях Оператора.

Категории субъектов: лица, давшие отдельное согласие на получение таких сообщений. Персональные данные: фамилия, имя; номер телефона; адрес электронной почты; наименование организации, город. Правовые основания: согласие субъекта (пункт 1 части 1 статьи 6 Закона о персональных данных; статья 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»). Срок обработки: до отзыва согласия. Отказаться от рассылки можно в любой момент по ссылке в письме, ответом на сообщение или обращением по адресу, указанному в разделе 11 Политики. Сервисные уведомления, связанные с исполнением договора (о сроке лицензии, оплате, изменении документов, технических работах), рекламой не являются и направляются Лицензиатам на основании пункта 5 части 1 статьи 6 Закона о персональных данных.

5.5. Обеспечение работоспособности и безопасности Сайта и Программы, анализ их использования и улучшение качества Сервисов.

Категории субъектов: посетители Сайта и пользователи Программы. Персональные данные: IP-адрес; данные файлов cookie и аналогичных технологий (локального хранилища браузера); сведения о браузере, устройстве и операционной системе; дата и время доступа; адреса посещенных страниц и источник перехода; сведения о действиях на страницах (клики, прокрутка, ввод в формы без сохранения вводимых значений); журналы входов и действий в учетной записи. Правовые основания: для технически необходимых cookie – исполнение договора и законные интересы Оператора по обеспечению безопасности Сервисов (пункты 5 и 7 части 1 статьи 6 Закона о персональных данных); для аналитических cookie и сервисов веб-аналитики – согласие субъекта, оформляемое отдельно в интерфейсе уведомления о cookie на Сайте. Срок обработки: не более 12 (двенадцати) месяцев с даты сбора.

5.6. Подбор персонала.

Категории субъектов: кандидаты на вакансии. Персональные данные: сведения, указанные в резюме и анкете. Правовое основание: согласие субъекта. Срок обработки: до окончания рассмотрения кандидатуры, а при наличии согласия на включение в кадровый резерв – не более 1 (одного) года.

5.7. Ведение кадрового и бухгалтерского учета.

Категории субъектов: работники Оператора, в том числе уволенные, и их родственники (в случаях, предусмотренных трудовым законодательством). Персональные данные: в объеме, предусмотренном трудовым, налоговым законодательством, законодательством о бухгалтерском учете, воинском учете и обязательном социальном страховании. Правовые основания: исполнение обязанностей, возложенных на Оператора законодательством (пункт 2 части 1 статьи 6 Закона о персональных данных), исполнение трудового договора (пункт 5 части 1 статьи 6), согласие субъекта – в случаях, когда оно требуется. Срок обработки: в течение сроков хранения документов, установленных законодательством Российской Федерации об архивном деле и о бухгалтерском учете.

5.8. Исполнение требований законодательства, рассмотрение запросов субъектов персональных данных и государственных органов, защита прав и законных интересов Оператора, в том числе в судебном порядке.

Категории субъектов: субъекты, указанные в пунктах 5.1–5.7 Политики. Персональные данные: в объеме, необходимом для соответствующей цели. Правовые основания: пункты 2, 5 и 7 части 1 статьи 6 Закона о персональных данных. Срок обработки: в течение срока, необходимого для достижения цели, в том числе срока исковой давности.

5.9. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные в собственных целях. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права, на основании исключительно автоматизированной обработки персональных данных.

6. Условия и порядок обработки

6.1. Обработка персональных данных осуществляется автоматизированным способом, а также без использования средств автоматизации, и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных.

6.2. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных). Трансграничная передача персональных данных Оператором не осуществляется.

6.3. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом. Оператор не продает персональные данные и не передает их третьим лицам для целей рекламы.

6.4. Для достижения целей, указанных в разделе 5 Политики, Оператор поручает обработку персональных данных следующим лицам на основании договоров, содержащих условия, предусмотренные частью 3 статьи 6 Закона о персональных данных:

– АО «Селектел» (ИНН 7810962785, адрес: г. Санкт-Петербург, ул. Цветочная, д. 21, стр. А) – размещение серверов Программы и хранение данных.

Прием платежей осуществляет ООО НКО «ЮМани», ИНН 7750005725, который обрабатывает платежные данные как самостоятельный оператор; реквизиты банковских карт Оператор не получает и не хранит.

6.5. Для обработки персональных данных Клиентов Лицензиатов по поручению (раздел 6 Приложения № 1 к Лицензионному договору) Оператор привлекает следующих лиц:

– АО «Селектел» (ИНН 7810962785, адрес: г. Санкт-Петербург, ул. Цветочная, д. 21, стр. А) – размещение серверов Программы и хранение данных.

Актуальные перечни лиц, указанных в пунктах 6.4 и 6.5, поддерживаются в настоящем разделе Политики; об изменении перечня, указанного в пункте 6.5, Лицензиаты уведомляются в порядке, предусмотренном Лицензионным договором.

6.6. Оператор предоставляет персональные данные органам государственной власти и иным лицам только в случаях и в порядке, предусмотренных федеральным законом.

6.7. При достижении целей обработки, истечении сроков, указанных в разделе 5 Политики, или отзыве согласия (при отсутствии иных правовых оснований) персональные данные уничтожаются в сроки, установленные статьей 21 Закона о персональных данных. Уничтожение подтверждается актом об уничтожении и (или) выгрузкой из журнала регистрации событий в информационной системе в соответствии с Требованиями к подтверждению уничтожения персональных данных, утвержденными приказом Роскомнадзора от 28.10.2022 № 179.

7. Файлы cookie и сервисы веб-аналитики

7.1. На Сайте используются технически необходимые cookie (для авторизации, сохранения настроек и защиты от атак), без которых Сайт и Программа не могут работать, а также аналитические cookie и сервисы веб-аналитики, указанные в пункте 6.4 Политики.

7.2. Посетитель может в любой момент отозвать согласие на использование аналитических cookie через настройки уведомления о cookie на Сайте, а также ограничить или удалить cookie и данные локального хранилища в настройках браузера. Ограничение технически необходимых cookie может привести к невозможности использования Программы.

8. Права субъектов персональных данных

8.1. Субъект персональных данных вправе: получать информацию, касающуюся обработки его персональных данных, в объеме, предусмотренном частью 7 статьи 14 Закона о персональных данных; требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; отозвать согласие на обработку персональных данных; требовать прекращения обработки персональных данных в целях продвижения товаров, работ, услуг; обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке; на защиту своих прав и законных интересов.

8.2. Запрос субъекта должен содержать сведения, предусмотренные частью 3 статьи 14 Закона о персональных данных: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты или номер телефона, использованные при регистрации); подпись субъекта или его представителя. Запрос направляется в письменной форме по адресу Оператора либо в форме электронного документа, подписанного электронной подписью, на адрес электронной почты, указанный в разделе 11 Политики.

8.3. Оператор предоставляет ответ на запрос в течение 10 (десяти) рабочих дней с даты его получения. Указанный срок может быть продлен не более чем на 5 (пять) рабочих дней с направлением субъекту мотивированного уведомления. Требование об уточнении персональных данных исполняется в течение 7 (семи) рабочих дней, требование о прекращении обработки персональных данных – в сроки, установленные статьей 21 Закона о персональных данных. Требование о прекращении обработки персональных данных в целях продвижения товаров, работ, услуг исполняется незамедлительно. Мотивированный отказ в предоставлении информации направляется в сроки, установленные частью 2 статьи 20 Закона о персональных данных.

9. Обеспечение безопасности персональных данных

9.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о персональных данных и постановлением Правительства Российской Федерации от 01.11.2012 № 1119, в том числе: назначает лицо, ответственное за организацию обработки персональных данных; издает локальные акты по вопросам обработки и защиты персональных данных; определяет угрозы безопасности и уровень защищенности персональных данных; ограничивает и разграничивает доступ к персональным данным; применяет средства защиты информации, в том числе шифрование каналов связи (HTTPS/TLS), межсетевое экранирование и антивирусную защиту; ведет учет машинных носителей; осуществляет резервное копирование и обеспечивает восстановление персональных данных; регистрирует события безопасности; ознакомляет работников с требованиями законодательства о персональных данных; осуществляет внутренний контроль соответствия обработки персональных данных требованиям законодательства.

9.2. В случае выявления неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в течение 24 (двадцати четырех) часов и о результатах внутреннего расследования – в течение 72 (семидесяти двух) часов в соответствии с частью 3.1 статьи 21 Закона о персональных данных, а также взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Если инцидент затрагивает персональные данные Клиентов Лицензиата, Оператор уведомляет Лицензиата в сроки, установленные поручением.

10. Заключительные положения

10.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией. Предыдущие редакции Политики хранятся Оператором и предоставляются по запросу.

10.2. К Политике и отношениям, возникающим в связи с ее применением, применяется право Российской Федерации.

11. Контакты Оператора