Порядок обработки и защиты персональных данных

01Назначение и область применения

Настоящий Порядок описывает процедуры обработки и защиты персональных данных в Сервисе lappass и дополняет Политику конфиденциальности. Документ распространяется на все процессы обработки данных представителей Тенантов, Участников и посетителей сайта.

02Принципы обработки

• обработка только на законном и справедливом основании;
• ограничение обработки заранее определёнными целями;
• минимизация — состав данных не избыточен относительно целей;
• точность и актуальность данных;
• ограничение сроков хранения достижением целей;
• обеспечение конфиденциальности и безопасности.

03Условия обработки

Обработка допускается при наличии хотя бы одного основания из ст. 6 152-ФЗ: согласие Субъекта (отдельным документом), исполнение договора, поручение оператора, требование закона. Согласие на обработку и согласие на рекламу собираются раздельно и не предзаполняются.

Способы обработки: автоматизированная (в инфраструктуре Сервиса) и неавтоматизированная (при необходимости сопровождения).

04Поручение обработки (ст. 6 ч. 3)

В отношении данных Участников lappass выступает обработчиком по поручению Тенанта. Условия поручения:

1. обработка осуществляется исключительно в целях, определённых Тенантом, и в пределах поручения;
2. lappass обязан соблюдать конфиденциальность и требования к безопасности по ст. 19 152-ФЗ;
3. lappass обязан соблюдать требования, предусмотренные ч. 5 ст. 18 и ст. 18.1 152-ФЗ;
4. lappass по запросу Тенанта предоставляет документы и сведения, подтверждающие принятие мер по ст. 18.1 и ст. 19 152-ФЗ;
5. lappass уведомляет Тенанта о каждом случае неправомерной или случайной передачи (предоставления, распространения, доступа) данных Участников — не позднее 24 часов с момента выявления;
6. lappass не определяет цели обработки данных Участников самостоятельно и не обязан получать согласие Участников;
7. привлечение субобработчиков допускается с уведомлением Тенанта и при сохранении уровня защиты;
8. по завершении поручения данные удаляются или возвращаются Тенанту.

Перечень персональных данных и перечень действий (операций), составляющие предмет поручения, установлены разделом 05 Оферты для компаний — он является поручением по ст. 6 ч. 3 152-ФЗ. Настоящий Порядок описывает процедуры его исполнения и при расхождении применяется в части, не противоречащей Оферте.

Ответственность перед Субъектом несёт Тенант как оператор; lappass отвечает перед Тенантом за исполнение поручения.

05Доступ и разграничение ролей

Доступ к персональным данным предоставляется по принципу минимальных привилегий. Роли в Сервисе (владелец, администратор, тренер, модератор, участник) имеют разный набор прав. Доступ сотрудников lappass к данным Тенанта — только в объёме, необходимом для поддержки, с журналированием действий.

06Хранение и сроки

Данные граждан РФ хранятся в базах на территории Российской Федерации. Сроки хранения:

07Уничтожение данных

По истечении сроков, достижении целей или отзыве согласия данные удаляются или обезличиваются. Факт уничтожения фиксируется (акт/журнал). При запросе Субъекта на удаление обработка прекращается в сроки, установленные 152-ФЗ, если отсутствуют иные законные основания для хранения.

08Меры защиты

• организационные: назначение ответственного за обработку, регламенты, обучение, NDA;
• технические: разграничение доступа, шифрование каналов (TLS) и чувствительных полей, хранение паролей в виде хешей, резервное копирование, мониторинг и журналирование;
• контроль: периодическая оценка уровня защищённости, тестирование, пересмотр прав доступа.

09Реагирование на инциденты

При выявлении инцидента (утечка, неправомерный доступ) lappass локализует инцидент, оценивает последствия и уведомляет уполномоченный орган и затронутого оператора-Тенанта в сроки, установленные 152-ФЗ. Ведётся реестр инцидентов.

10Обязанности Тенанта

Тенант как самостоятельный оператор обязан:

• иметь правовые основания для передачи данных Участников в Сервис;
• собирать необходимые согласия своих Участников и информировать их об обработке;
• подать собственное уведомление об обработке персональных данных в Роскомнадзор до начала обработки (ст. 22 ч. 1 152-ФЗ). Изъятие для данных стороны договора отменено с 01.09.2022, поэтому обязанность безусловная; уведомление подаётся от имени Тенанта и по его реквизитам — lappass подать его за Тенанта не может;
• не загружать в Сервис данные сверх заявленных целей и специальные категории без оснований;
• оперативно реагировать на запросы своих Участников.