Политика конфиденциальности

Общие положения

Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет цели, правовые основания, порядок и условия обработки персональных данных, а также реализуемые [НАИМЕНОВАНИЕ] (далее — Оператор) меры по обеспечению их безопасности при функционировании сайта https://vinkona.ru (далее — Сайт).

Сайт является онлайн-платформой поиска и онлайн-записи к бьюти-мастерам (далее — Сервис): поиск мастера, оформление записи, обмен сообщениями, отзывы, расписание и портфолио. Расчёты за услуги клиент производит напрямую мастеру на визите (банковской картой, переводом или наличными). Оператор не принимает и не переводит денежные средства за услуги мастеров, платёжным агентом не является, контрольно-кассовую технику не применяет и данные банковских карт клиентов не обрабатывает. Вознаграждение за использование Сервиса Оператор удерживает с мастера в размере и в порядке, установленных условиями использования Сервиса.

Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 (далее — Постановление № 1119), Приказом ФСТЭК России от 18.02.2013 № 21 (далее — Приказ ФСТЭК № 21).

Политика применяется ко всем персональным данным, обрабатываемым Оператором с использованием средств автоматизации, в том числе в сети «Интернет», и распространяется на данные, полученные как до, так и после вступления в силу её действующей редакции. Политика является общедоступным документом и публикуется по адресу https://vinkona.ru. Понятия применяются в значениях статьи 3 Закона о персональных данных.

Оператор персональных данных

Оператором персональных данных является [НАИМЕНОВАНИЕ], самостоятельно организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и содержание обработки:

Наименование: [НАИМЕНОВАНИЕ].
ИНН: [ИНН]; ОГРН: [ОГРН].
Юридический адрес: [ЮРИДИЧЕСКИЙ АДРЕС].
Адрес электронной почты: [EMAIL].
Адрес для обращений по вопросам обработки персональных данных: [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПД].

Оператор направил в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) уведомление о намерении осуществлять обработку персональных данных и вносит в него изменения в порядке и в сроки, установленные статьёй 22 Закона о персональных данных.

Лицом, ответственным за организацию обработки персональных данных, назначен работник Оператора. Указанное лицо обеспечивает соблюдение Закона о персональных данных и Политики, внутренний контроль обработки персональных данных и взаимодействие с субъектами персональных данных и уполномоченным органом (часть 5 статьи 18.1 Закона о персональных данных). Обращения направляются по адресу [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПД], на адрес [EMAIL] либо почтой по адресу [ЮРИДИЧЕСКИЙ АДРЕС].

Основные понятия

Субъект персональных данных. Физическое лицо, к которому относятся обрабатываемые данные: клиент, мастер, посетитель Сайта без учётной записи.
Обработка персональных данных. Любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
Уничтожение. Действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются их материальные носители.
Согласие субъекта. Свободное, конкретное, предметное, информированное, сознательное и однозначное волеизъявление на обработку данных, выраженное в письменной форме, в форме электронного документа либо путём совершения активного действия в интерфейсе Сервиса.

Принципы обработки персональных данных и локализация баз данных

Обработка персональных данных осуществляется на основе принципов, установленных статьёй 5 Закона о персональных данных:

Законность и справедливость. Обработка ведётся на законной и справедливой основе.
Ограничение целями. Данные не обрабатываются для целей, несовместимых с целями сбора; объединение баз данных для несовместимых целей не допускается.
Соответствие объёма целям. Обрабатываются только данные, отвечающие заявленным целям; их избыточность не допускается.
Ограничение срока хранения. Данные хранятся не дольше, чем требуют цели обработки, если иной срок не установлен законом, договором или согласием субъекта.
Локализация баз данных. При сборе персональных данных, в том числе посредством сети «Интернет», обеспечиваются запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

Оператор соблюдает требование о локализации баз данных как обязательный принцип организации обработки. Первичный контур обработки размещён в облачной инфраструктуре Yandex Cloud, центры обработки данных которой находятся на территории Российской Федерации. Базы данных за пределами территории Российской Федерации для записи, систематизации, накопления, хранения, уточнения и извлечения персональных данных граждан Российской Федерации не используются; зарубежная инфраструктура для этих операций не применяется.

Правовые основания обработки персональных данных

Обработка осуществляется на основаниях, предусмотренных статьёй 6 Закона о персональных данных:

Согласие субъекта (пункт 1 части 1 статьи 6, статья 9 Закона о персональных данных). Согласие даётся при регистрации путём проставления отметки и подтверждается техническими данными (дата, время, адрес запроса); оно оформляется отдельно для каждой цели. Обязанность доказать наличие согласия или иного законного основания возлагается на Оператора (часть 3 статьи 9 Закона о персональных данных).
Исполнение договора, стороной которого является субъект (пункт 5 части 1 статьи 6): использование Сервиса, оформление и исполнение записи, передача мастеру сведений, необходимых для визита, ведение расчётов.
Законные интересы Оператора (пункт 7 части 1 статьи 6): обеспечение работоспособности и безопасности Сервиса, предотвращение мошенничества, рассмотрение споров, защита прав Оператора, улучшение Сервиса на основе обезличенной статистики; права и свободы субъекта при этом не нарушаются.
Исполнение обязанностей по закону (пункт 2 части 1 статьи 6): ведение бухгалтерского и налогового учёта, обеспечение безопасности персональных данных, предоставление информации уполномоченным государственным органам.
Поручение обработки третьему лицу (часть 3 статьи 6 Закона о персональных данных) на основании договора, содержащего требования о конфиденциальности и защите данных.

Оператор не обрабатывает персональные данные в целях распространения (статья 10.1 Закона о персональных данных) и не раскрывает их неограниченному кругу лиц, кроме случаев публикации по инициативе и с отдельного согласия субъекта (отзыв, публичное портфолио мастера). Специальные категории персональных данных (статья 10) и биометрические персональные данные (статья 11) Оператором не обрабатываются, за исключением прямо указанного в Политике случая.

Цели обработки персональных данных

Цели определяются отдельно по каждой категории субъектов и каждому набору данных.

Клиенты

Учётная запись: регистрация, авторизация, восстановление доступа, личный кабинет. Данные: имя, телефон, электронная почта, пароль (в виде хеша), город. Основание: договор, согласие.
Запись на услугу: оформление, подтверждение, изменение и отмена записи, напоминания, передача мастеру данных для визита. Данные: имя, телефон, время визита, история записей. Основание: договор, согласие.
Переписка с мастером: работа чата и хранение истории сообщений, в том числе для разрешения споров. Данные: содержание и время сообщений. Основание: договор, законные интересы.
Отзывы и претензии: публикация отзыва по инициативе клиента, обработка оценок и обращений о качестве услуг. Данные: имя, текст отзыва, оценка. Основание: согласие, законные интересы.
Информирование: сервисные уведомления, а при отдельном согласии — информационные и рекламные сообщения. Данные: имя, почта, телефон. Основание: договор, согласие.

Мастера

Регистрация и верификация: установление личности, подтверждение права оказывать заявленные услуги. Данные: имя, контакты, документ, удостоверяющий личность, документы о квалификации, район работы. Основание: договор, законные интересы, согласие.
Профиль: размещение сведений для выбора мастера клиентами. Данные: имя или псевдоним, портфолио, услуги, район работы, отзывы. Основание: договор, согласие.
Расчёты по вознаграждению: начисление и удержание вознаграждения, отчётность, бухгалтерский и налоговый учёт. Данные: расчётные реквизиты, сведения о выполненных заказах. Основание: договор, закон.
Приватные заметки о клиентах: ведение мастером закрытых заметок для оказания повторных услуг. Данные: вносимые мастером сведения. Основание: согласие, законные интересы.
Безопасность Сервиса: контроль соблюдения условий использования, рассмотрение споров, блокирование недобросовестных пользователей. Основание: законные интересы.

Все пользователи Сайта

Функционирование и безопасность: авторизация, поддержание сессии, защита от несанкционированного доступа и атак, журналирование событий. Данные: IP-адрес, cookie, сведения о браузере и устройстве. Основание: законные интересы, закон.
Аналитика: изучение обезличенной статистики использования Сайта, выявление ошибок, повышение удобства. Основание: законные интересы.
Карты и подбор района: построение карты и подбор мастеров с учётом места оказания услуг. Данные: координаты запроса. Основание: договор, согласие.

Перечень обрабатываемых персональных данных

Клиенты

Учётные данные: имя или отображаемое имя, электронная почта, телефон, пароль (только в виде необратимого хеша), город, идентификатор учётной записи.
Сведения о записях: история записей, выбранные услуги и мастера, дата и время визита, статусы, сведения об отменах.
Коммуникации: сообщения в чате с мастером, комментарии к записи, обращения в поддержку.
Отзывы: текст, оценка, указанное имя, приложенные материалы.
Технические данные: IP-адрес, cookie, сведения о браузере, устройстве и операционной системе, идентификаторы сессии, дата и время обращения.

Мастера

Обрабатываются все перечисленные выше данные, а также дополнительно:

Документ, удостоверяющий личность: серия и номер, дата выдачи, выдавший орган, дата рождения, адрес регистрации.
Квалификация: дипломы, сертификаты, свидетельства, сведения об образовании и опыте.
Портфолио и деятельность: фотографии работ, услуги, район работы, график, стоимость услуг.
Расчётные реквизиты: банковские реквизиты, сведения о налоговом режиме и статусе (самозанятый, индивидуальный предприниматель), результаты проверки достоверности сведений.

Посетители Сайта

Данные посещения: IP-адрес, cookie, сведения о браузере и устройстве, источник перехода, просмотренные страницы, обезличенные идентификаторы веб-аналитики.
Данные для карт: координаты запроса при построении карты и подборе района работы мастера.

Биометрические данные, сведения о состоянии здоровья, национальной и расовой принадлежности, политических, религиозных и философских убеждениях, интимной жизни и о судимости Оператором не обрабатываются. Данные банковских карт клиентов не обрабатываются, поскольку приём платежей за услуги мастеров Оператор не осуществляет.

Отдельные категории данных, приватные заметки и несовершеннолетние

Специальные категории и биометрия

Оператор не ставит целью обработку специальных категорий и биометрических персональных данных и не обрабатывает изображения или физиологические особенности пользователей для установления личности. Фотографии в портфолио мастера и в профиле пользователя обрабатываются как обычные персональные данные.

Документы о квалификации, включая медицинские

Если мастер добровольно размещает документ, содержащий сведения медицинского характера (например, сертификат о медицинском образовании или о прохождении медосмотра), такие сведения обрабатываются исключительно для подтверждения квалификации мастера, на основании его согласия, выраженного загрузкой документа. Обработка прекращается по требованию мастера; сведения не используются для иных целей и не передаются третьим лицам, кроме случаев, предусмотренных законом.

Приватные заметки мастера о клиенте

Закрытые заметки мастера о клиенте хранятся в защищённом разделе Сервиса и доступны только этому мастеру. Оператор обеспечивает техническую изоляцию записей, не использует их в собственных целях и не предоставляет доступ иным пользователям. Мастер самостоятельно определяет содержание заметок и не вправе вносить в них специальные категории персональных данных, биометрические данные и сведения, не связанные с оказанием услуг. По обращению клиента неточные или неправомерно внесённые сведения уточняются, блокируются или удаляются в порядке статьи 21 Закона о персональных данных.

Несовершеннолетние пользователи

Сервис предназначен для лиц, достигших восемнадцати лет. Регистрация лиц в возрасте от четырнадцати до восемнадцати лет допускается только при наличии согласия законного представителя, оформленного в порядке, установленном законодательством Российской Федерации (статья 9 Закона о персональных данных, статьи 26 и 28 Гражданского кодекса Российской Федерации). За лиц, не обладающих необходимой дееспособностью, согласие дают законные представители. Если Оператору станет известно, что данные лица младше четырнадцати лет предоставлены без согласия законного представителя, обработка прекращается, а данные уничтожаются в срок, не превышающий тридцати дней с даты выявления этого обстоятельства.

Способы обработки, сроки хранения и уничтожение персональных данных

Способы и порядок обработки

Обработка осуществляется автоматизированным способом с использованием средств вычислительной техники, а при необходимости — смешанным способом. Оператор совершает с персональными данными действия, перечисленные в статье 3 Закона о персональных данных, в объёме, необходимом для достижения целей обработки.

Передача персональных данных по открытым каналам связи, допускающим раскрытие данных неопределённому кругу лиц, не производится; соединение с Сайтом защищено шифрованием (HTTPS/TLS). Доступ внутри защищённого периметра предоставляется по принципу минимально необходимой достаточности; пароли пользователей хранятся только в виде необратимых хешей. Решения, порождающие юридические последствия для субъекта, исключительно на основании автоматизированной обработки персональных данных не принимаются (статья 16 Закона о персональных данных).

Сроки хранения

Персональные данные хранятся не дольше, чем требуют цели обработки, если иной срок не установлен федеральным законом, договором или согласием субъекта (часть 7 статьи 5 Закона о персональных данных). Оператор применяет следующие сроки:

Данные учётной записи — в течение срока использования Сервиса; уничтожаются в течение тридцати дней с даты удаления учётной записи или получения отзыва согласия, если обработка не продолжается на ином законном основании.
Записи, сообщения, отзывы, сведения о расчётах вознаграждения — три года с даты завершения соответствующего заказа, а в части бухгалтерского и налогового учёта — не менее пяти лет.
Документы мастера о личности, квалификации и расчётах — срок действия договора и три года после его прекращения; документы учётного характера — в сроки, установленные законодательством.
Приватные заметки мастера — до их удаления мастером, удаления учётной записи мастера или прекращения обработки по требованию клиента.
Технические данные и журналы событий — не более двенадцати месяцев, если более длительный срок не требуется для расследования инцидента, спора или требований закона.

Порядок уничтожения

По достижении целей обработки, при отзыве согласия или поступлении требования о прекращении обработки персональные данные уничтожаются в срок, не превышающий тридцати дней с соответствующей даты, если иное не предусмотрено законом или договором (статья 21 Закона о персональных данных). Неточные данные блокируются и уточняются в течение семи рабочих дней с даты предоставления субъектом подтверждающих сведений; при выявлении неправомерной обработки она прекращается в срок не более трёх рабочих дней, а если правомерность обеспечить невозможно, данные уничтожаются в срок не более десяти рабочих дней с даты выявления.

Уничтожение производится путём удаления записей из информационных систем, исключающего восстановление их содержания, и уничтожения материальных носителей; его выполняют назначенные работники, при необходимости — комиссия. Факт уничтожения подтверждается в порядке, установленном уполномоченным органом (часть 7 статьи 21 Закона о персональных данных); акты и выгрузки журналов хранятся три года. Если уничтожение в срок невозможно, данные блокируются и уничтожаются в срок не более шести месяцев.

Файлы cookie и аналитика

Сайт использует файлы cookie и аналогичные технологии для следующих целей:

Строго необходимые. Авторизация, поддержание сессии, защита от подделки запросов; без них использование Сервиса невозможно.
Функциональные. Запоминание города, языка интерфейса и ранее выбранных параметров поиска.
Аналитические. Сбор обезличенной статистики посещаемости и поведения на Сайте, оценка эффективности функций, выявление ошибок.

Правовыми основаниями такой обработки являются согласие субъекта и законные интересы Оператора в обеспечении безопасности и работоспособности Сервиса (пункты 1 и 7 части 1 статьи 6 Закона о персональных данных); данные веб-аналитики обрабатываются преимущественно в обезличенном виде.

Пользователь вправе отключить или удалить файлы cookie в настройках браузера либо использовать режим приватного просмотра. Отключение строго необходимых файлов делает невозможной авторизацию и работу личного кабинета; отключение аналитических файлов доступность основных функций не ограничивает. Требование о прекращении обработки данных аналитических файлов cookie направляется на адрес [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПД].

Передача персональных данных третьим лицам и поручение обработки

Оператор не продаёт персональные данные, не раскрывает их неограниченному кругу лиц и не передаёт их для целей, не связанных с работой Сервиса, кроме случаев, предусмотренных законом.

Мастеру передаётся только та часть данных клиента, которая необходима для визита: имя, номер телефона, время визита, а также содержание переписки с этим мастером. Мастер использует такие данные исключительно для оказания услуг, обязан соблюдать их конфиденциальность, не передавать иным лицам и не использовать для рассылок без отдельного согласия клиента; указанные обязанности закреплены в условиях использования Сервиса. Сведения публичного профиля мастера (имя или псевдоним, портфолио, услуги, район работы, отзывы) размещаются с согласия соответствующего субъекта.

Оператор вправе поручать обработку персональных данных третьим лицам на основании части 3 статьи 6 Закона о персональных данных. Категории таких лиц:

Поставщики облачной инфраструктуры и хостинга — размещение баз данных в Российской Федерации и работа Сервиса.
Сервисы отправки электронных сообщений и SMS — сервисные письма, подтверждения записи, восстановление доступа, коды подтверждения.
Картографический сервис (Яндекс Карты) — построение карты и подбор района; передаются только координаты запроса.
Сервисы веб-аналитики — сбор обезличенной статистики использования Сайта.
Кредитные организации и платёжные сервисы — расчёты по вознаграждению Оператора в необходимом объёме.
Организации информационно-технической поддержки — сопровождение информационных систем Оператора.

Договоры с указанными лицами содержат требования о конфиденциальности персональных данных, об обеспечении их безопасности по статье 19 Закона о персональных данных, об обработке данных только в целях исполнения поручения и об обязанности прекратить обработку и уничтожить данные по требованию Оператора; ответственность перед субъектом за действия такого лица несёт Оператор (часть 5 статьи 6 Закона о персональных данных). Данные предоставляются государственным органам и судам исключительно в случаях и в порядке, установленных законодательством Российской Федерации (пункт 2 части 1 статьи 6 Закона о персональных данных).

Трансграничная передача персональных данных

Оператор не осуществляет трансграничную передачу персональных данных граждан Российской Федерации, поскольку запись, систематизация, накопление, хранение, уточнение и извлечение таких данных производятся с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

Если для развития Сервиса потребуется трансграничная передача, она будет осуществлена только при соблюдении статьи 12 Закона о персональных данных:

до начала передачи в уполномоченный орган направляется уведомление о намерении осуществлять трансграничную передачу отдельно от уведомления по статье 22 Закона о персональных данных;
передача допускается на территорию государств с адекватной защитой прав субъектов, а в иные государства — только при наличии письменного согласия субъекта;
до получения сведений о решении уполномоченного органа о запрете или ограничении передачи Оператор воздерживается от неё и исполняет требования о приостановлении или прекращении.

Права субъекта персональных данных

Субъект персональных данных вправе:

Получать информацию об обработке своих данных в объёме, предусмотренном частью 7 статьи 14 Закона о персональных данных: подтверждение факта обработки, цели, способы, перечень данных, сведения об Операторе и лицах, которым могут быть переданы данные, сроки обработки, порядок отзыва согласия.
Знакомиться со своими персональными данными и получать их копию в доступной форме.
Требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не являются необходимыми для целей обработки (статья 21 Закона о персональных данных).
Требовать прекращения обработки в предусмотренных законом случаях; требование исполняется в срок не более десяти рабочих дней с возможностью продления не более чем на пять рабочих дней.
Отозвать согласие на обработку персональных данных.
Возражать против обработки, основанной на законных интересах Оператора, и требовать исключения данных из публичных разделов Сервиса.
Не подвергаться решениям, основанным исключительно на автоматизированной обработке, порождающим юридические последствия или затрагивающим права и законные интересы (статья 16 Закона о персональных данных).
Обжаловать действия или бездействие Оператора в Роскомнадзор или в суд, а также требовать возмещения убытков и компенсации морального вреда (статьи 17 и 24 Закона о персональных данных).

Для реализации прав субъект или его представитель направляет запрос на адрес [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПД] либо почтой по адресу [ЮРИДИЧЕСКИЙ АДРЕС]. Запрос содержит номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором, и подпись. Запрос может быть направлен в форме электронного документа и подписан электронной подписью (часть 3 статьи 14 Закона о персональных данных).

Информация предоставляется в течение десяти рабочих дней с даты получения запроса; срок может быть продлён не более чем на пять рабочих дней при направлении субъекту мотивированного уведомления. В случаях, для которых законом установлен иной, в том числе тридцатидневный, срок (статья 20 Закона о персональных данных), Оператор соблюдает такой срок. В сведения не включаются данные других субъектов, если отсутствуют законные основания для их раскрытия; отказ в предоставлении информации допускается только в случаях, предусмотренных законом, и должен быть мотивирован.

Отзыв согласия на обработку персональных данных

Субъект вправе в любой момент отозвать согласие на обработку персональных данных (статья 9 Закона о персональных данных), направив заявление на адрес [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПД], почтой по адресу [ЮРИДИЧЕСКИЙ АДРЕС] либо средствами личного кабинета, если такая функция реализована. Заявление должно позволять достоверно установить личность заявителя; отзыв может быть выражен в свободной форме.

После получения отзыва Оператор прекращает обработку данных в соответствующей части и обеспечивает их уничтожение в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено договором или законом. Отзыв не влияет на законность обработки, осуществлённой до его получения.

Обработка отдельных данных может быть продолжена после отзыва согласия:

Исполнение договора — в объёме, необходимом для завершения отношений с субъектом (пункт 5 части 1 статьи 6 Закона о персональных данных).
Исполнение требований закона — ведение бухгалтерского и налогового учёта, ответы на законные запросы государственных органов; документы бухгалтерского учёта хранятся не менее пяти лет.
Защита прав и законных интересов — хранение сведений, необходимых для рассмотрения спора, в течение срока исковой давности.
Обезличенные данные — обрабатываются без ограничений, поскольку не относятся к персональным данным.

Отзыв согласия на обработку данных, без которых невозможно предоставление доступа к функциям Сервиса, влечёт прекращение использования этих функций и удаление учётной записи. Отзыв согласия на информационные и рекламные сообщения не прекращает направление сервисных уведомлений, необходимых для исполнения записи.

Меры по обеспечению безопасности персональных данных и реагирование на инциденты

Организационные меры

Оператор принимает правовые, организационные и технические меры, предусмотренные статьёй 19 Закона о персональных данных, Постановлением № 1119 и Приказом ФСТЭК № 21:

Определение уровня защищённости. Уровни защищённости информационных систем персональных данных определены с учётом категорий данных, характера угроз и числа субъектов (Постановление № 1119); сформированы модель нарушителя и перечень актуальных угроз.
Локальные акты, ответственные лица и конфиденциальность. Приняты внутренние регламенты обработки и защиты данных, назначено ответственное лицо, разграничены обязанности работников; работники и привлекаемые лица ознакомлены с требованиями законодательства и приняли обязательства о неразглашении персональных данных (часть 5 статьи 18.1 Закона о персональных данных).
Внутренний контроль. Проводятся проверки соответствия обработки требованиям законодательства, оценка вреда, который может быть причинён субъектам (пункт 5 части 1 статьи 18.1 Закона о персональных данных), учёт носителей и лиц, допущенных к обработке.
Работа с контрагентами. Отбор лиц, обрабатывающих данные по поручению, включение в договоры требований о конфиденциальности и безопасности и контроль их исполнения.

Технические меры

Шифрование каналов связи. Обмен данными между устройством пользователя и Сервисом ведётся по защищённым протоколам (HTTPS/TLS); открытые каналы не используются.
Защита учётных данных. Хранение паролей в виде хешей, требования к сложности пароля, ограничение попыток авторизации, двухфакторная аутентификация работников.
Разграничение доступа. Ролевая модель по принципу минимально необходимой достаточности, журналирование и аудит действий.
Защита инфраструктуры. Средства защиты информации, межсетевые экраны, антивирусная защита, обнаружение вторжений, обновления безопасности, резервное копирование с ограничением доступа, контроль целостности.
Взаимодействие с государственной системой обнаружения компьютерных атак. Оператор информирует уполномоченный орган о компьютерных инцидентах, повлёкших неправомерную передачу, распространение или доступ к персональным данным (части 12–14 статьи 19 Закона о персональных данных).

Уведомление об инцидентах

При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор исполняет обязанности, предусмотренные частью 3.1 статьи 21 Закона о персональных данных (применяется с 30 мая 2025 года; срок вступления в силу установлен Федеральным законом от 30.11.2024 № 420-ФЗ):

В течение двадцати четырёх часов с момента выявления инцидента Оператор уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, предполагаемом вреде правам субъектов, принятых мерах по устранению последствий, а также сообщает сведения о лице, уполномоченном на взаимодействие с уполномоченным органом по вопросам инцидента.
В течение семидесяти двух часов Оператор уведомляет уполномоченный орган о результатах внутреннего расследования инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).

Одновременно Оператор принимает меры по локализации инцидента, ограничению доступа к данным, восстановлению работы систем, выявлению причин и условий инцидента и информирует субъектов, права которых нарушены, о характере инцидента и принятых мерах. Сведения об инцидентах фиксируются в журналах учёта.

Обращения субъектов персональных данных и изменения Политики

Порядок направления и рассмотрения обращений

Обращения, запросы и требования по вопросам обработки персональных данных направляются на адрес [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПД], на адрес [EMAIL] либо почтой по адресу [ЮРИДИЧЕСКИЙ АДРЕС]. Обращение должно позволять установить личность заявителя и существо требования; к запросам по статье 14 Закона о персональных данных применяются требования к содержанию, изложенные в Политике.

Обращения рассматриваются в течение десяти рабочих дней с даты получения с возможностью продления не более чем на пять рабочих дней при направлении мотивированного уведомления; в прямо предусмотренных законом случаях применяется тридцатидневный срок статьи 20 Закона о персональных данных. Ответ направляется способом, которым было направлено обращение, либо иным способом, указанным заявителем. При нарушении прав субъекта Оператор устраняет нарушение и сообщает об этом субъекту, а при необходимости — уполномоченному органу, в порядке и сроки, предусмотренные статьями 20 и 21 Закона о персональных данных.

Изменение Политики

Оператор вправе изменять и дополнять Политику. Новая редакция вступает в силу с момента размещения по адресу https://vinkona.ru, если в ней не указан более поздний срок. Оператор обеспечивает актуальность Политики и её доступность неограниченному кругу лиц (пункт 3 части 1 статьи 18.1 Закона о персональных данных). При изменении целей, оснований или объёма обрабатываемых данных Оператор получает необходимое согласие субъектов, если оно требуется законом; пользователи с учётной записью могут ознакомиться с действующей редакцией через интерфейс Сервиса.

Действующая редакция Политики от [ДАТА РЕДАКЦИИ] размещена по адресу https://vinkona.ru и применяется с указанной даты. Контакты для обращений, связанных с обработкой персональных данных: [EMAIL ДЛЯ ОБРАЩЕНИЙ ПО ПД], [ЮРИДИЧЕСКИЙ АДРЕС].