Политика в отношении обработки персональных данных

Черновик, подготовлен ИИ-агентом; требует проверки штатным юристом до публикации. Плейсхолдеры: {{ОПЕРАТОР}}, {{ИНН}}, {{АДРЕС}}, {{EMAIL}}, {{ОТВЕТСТВЕННЫЙ}}, {{ДАТА}}. Пометки «*проверить*» — места, требующие сверки нормы или подтверждения фактов от бизнеса/ИТ.

Документ, определяющий политику оператора в отношении обработки персональных данных

(*проверить: ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» —

обязанность оператора, осуществляющего сбор ПДн с использованием сети «Интернет», опубликовать

такой документ и обеспечить неограниченный доступ к нему*).

Редакция от {{ДАТА}}. Адрес размещения: https://taxra.ru/legal/privacy.

---

1. Оператор и общие положения

1.1. Оператор: {{ОПЕРАТОР}}, ИНН {{ИНН}}, адрес: {{АДРЕС}}, электронная почта {{EMAIL}}.

1.2. Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006

№ 152-ФЗ «О персональных данных» (далее — 152-ФЗ), Федеральным законом от 27.07.2006 № 149-ФЗ

«Об информации, информационных технологиях и о защите информации» и принятыми во исполнение них

подзаконными актами.

1.3. Политика распространяется на обработку персональных данных (далее — ПДн) пользователей

сайта taxra.ru, сервиса Tax Radar и связанных с ним интерфейсов, а также лиц, обратившихся к

Оператору через формы на сайте.

1.4. Политика подлежит опубликованию в свободном доступе в сети «Интернет».

2. Термины

Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных

данных», «обезличивание», «блокирование», «уничтожение», «трансграничная передача» используются в

значениях, определённых ст. 3 152-ФЗ.

3. Категории субъектов и состав обрабатываемых данных

3.1. Зарегистрированные пользователи Сервиса

3.2. Лица, оставившие заявку на сайте (лендинг, формы «Задать вопрос», регистрация)

Имя, номер телефона, адрес электронной почты, текст вопроса, отметки о согласиях, дата и время

отправки формы.

3.3. Данные третьих лиц в материалах пользователей

В запросах и загруженных документах могут содержаться ПДн третьих лиц (работников, контрагентов).

В отношении таких данных Оператор действует по поручению пользователя, а пользователь выступает

лицом, обеспечивающим правовое основание обработки (*проверить: ч. 3 ст. 6 152-ФЗ — поручение

обработки; требуется корректная юридическая конструкция «оператор / лицо, обрабатывающее по

поручению», и соответствующее условие в* TERMS.md *и* UPLOAD_RULES.md).

3.4. Что Оператор не обрабатывает специально

Оператор не ставит целью обработку специальных категорий ПДн (ст. 10 152-ФЗ) и биометрических

персональных данных (ст. 11 152-ФЗ). Пользователям запрещено загружать такие данные в Сервис

(см. UPLOAD_RULES.md).

4. Цели обработки

• Регистрация, аутентификация и предоставление доступа к Сервису.
• Предоставление функциональности Сервиса: формирование ответов, ведение истории, анализ

загруженных документов.

• Связь с пользователем: сервисные и технические уведомления, ответы на обращения.
• Обеспечение информационной безопасности, предотвращение злоупотреблений, разбор инцидентов.
• Контроль и улучшение качества ответов (внутренний разбор запросов и трасс поиска).
• Ведение статистики посещений и оценка удобства интерфейса.
• Направление информационных и рекламных сообщений — только при наличии отдельного согласия

(*проверить: ч. 1 ст. 18 Федерального закона «О рекламе» — реклама по сетям электросвязи

допускается только с предварительного согласия абонента*).

• Исполнение обязанностей, возложенных на Оператора законодательством РФ.

5. Правовые основания обработки

• согласие субъекта на обработку ПДн (п. 1 ч. 1 ст. 6 152-ФЗ) — для регистрации, форм на сайте,

файлов cookie и рассылок;

• исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ) —

Пользовательское соглашение;

• исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 152-ФЗ);
• достижение законных интересов Оператора при условии ненарушения прав субъекта

(*проверить: п. 7 ч. 1 ст. 6 152-ФЗ — применимость к аналитике и безопасности*).

6. Принципы и условия обработки

6.1. Обработка ведётся на законной и справедливой основе, ограничивается заявленными целями,

объём и содержание данных соответствуют целям, данные не объединяются с базами, обрабатываемыми в

несовместимых целях (ст. 5 152-ФЗ).

6.2. Обработка осуществляется как без использования средств автоматизации, так и с их

использованием, включая автоматизированную обработку с применением технологий искусственного

интеллекта.

6.3. Автоматизированная обработка и ИИ. Ответы Сервиса формируются автоматически. Решения,

порождающие юридические последствия в отношении субъекта, исключительно на основании

автоматизированной обработки Оператором не принимаются (*проверить: ст. 16 152-ФЗ — запрет

принятия таких решений без согласия субъекта; убедиться, что продуктовая логика этому соответствует*).

6.4. Оператор не осуществляет обработку ПДн в целях, связанных с принятием решений о

предоставлении финансовых услуг, и не передаёт данные в бюро кредитных историй.

7. Локализация баз данных

7.1. Запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан Российской

Федерации осуществляются с использованием баз данных, расположенных на территории Российской

Федерации (*проверить: ч. 5 ст. 18 152-ФЗ*). Серверы и базы данных Сервиса размещены в РФ.

7.2. Обработка после первичной записи в российские базы может осуществляться с применением

вычислительных мощностей третьих лиц, в том числе зарубежных провайдеров языковых моделей

(см. раздел 9).

8. Передача данных третьим лицам

8.1. Оператор привлекает к обработке ПДн по поручению (ч. 3 ст. 6 152-ФЗ):

Поручение оформляется договором с обязательным указанием перечня действий, целей, обязанности

соблюдать конфиденциальность и требований к защите (*проверить: ч. 3 ст. 6 152-ФЗ; убедиться, что

договоры с хостингом и шлюзом доступа к моделям заключены и содержат эти условия*).

8.2. Оператор передаёт ПДн государственным органам в случаях и в объёме, предусмотренных законом.

8.3. Оператор не продаёт ПДн и не передаёт их третьим лицам в рекламных целях.

8.4. Доступ сотрудников. Доступ к содержанию запросов, ответов и истории пользователей имеют

администраторы Сервиса в объёме, необходимом для сопровождения и контроля качества

(*факт: в продукте есть административные функции просмотра истории пользователей и разбора

ответов*). Доступ предоставляется по перечню лиц, утверждаемому Оператором, и фиксируется.

9. Трансграничная передача

9.1. Для формирования ответов текст запроса и фрагменты документов передаются провайдеру языковой

модели, вычислительные мощности которого могут находиться за пределами Российской Федерации.

9.2. Трансграничная передача осуществляется с соблюдением ст. 12 152-ФЗ, в том числе после

направления уполномоченному органу уведомления о намерении осуществлять трансграничную передачу

ПДн (*проверить: ч. 3 ст. 12 152-ФЗ и подзаконный порядок; срок и форма уведомления; перечень

государств, обеспечивающих адекватную защиту, и необходимость получения отдельного согласия

субъекта в письменной форме при передаче в государства, не обеспечивающие адекватной защиты —

ч. 4 ст. 12 152-ФЗ*).

9.3. Минимизация. Пользователю рекомендуется не включать в запросы и загружаемые документы

ПДн, без которых можно обойтись; Оператор рекомендует обезличивать документы перед загрузкой

(см. UPLOAD_RULES.md).

10. Сроки хранения и уничтожение

10.1. Данные учётной записи и история обращений хранятся в течение срока действия учётной записи и

{{СРОК, например 1 год}} после её удаления, если иное не требуется законом (*проверить и утвердить

сроки*).

10.2. Данные из форм на сайте — {{СРОК, например 1 год}} с даты обращения.

10.3. Загруженные документы — до их удаления пользователем или Оператором, но не дольше

{{СРОК}} (*проверить: сейчас автоматическое удаление загруженных документов в продукте не

реализовано — требуется решение*).

10.4. По достижении целей обработки, отзыве согласия или по требованию субъекта данные

уничтожаются либо обезличиваются в срок, не превышающий 30 дней, если иной срок не установлен

законом (*проверить: ч. 3, 5 ст. 21 152-ФЗ; отдельные сокращённые сроки — 7 рабочих дней при

неправомерной обработке*).

10.5. Факт уничтожения фиксируется в порядке, установленном уполномоченным органом

(*проверить: требования к подтверждению уничтожения ПДн — приказ Роскомнадзора; акт и выгрузка

из журнала регистрации событий*).

11. Права субъекта персональных данных

11.1. Субъект вправе:

• получать сведения, предусмотренные ч. 7 ст. 14 152-ФЗ (подтверждение факта обработки, правовые

основания, цели, состав данных, сроки, сведения о лицах, которым передаются данные, и др.);

• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны,

незаконно получены или не являются необходимыми для заявленной цели;

• отозвать согласие на обработку (ч. 2 ст. 9 152-ФЗ);
• возражать против обработки в целях продвижения товаров, работ и услуг (ч. 1 ст. 15 152-ФЗ);
• обжаловать действия Оператора в Роскомнадзор или в суд.

11.2. Запрос направляется на {{EMAIL}} или по адресу {{АДРЕС}} и должен содержать сведения,

позволяющие идентифицировать субъекта и подтвердить его участие в отношениях с Оператором

(*проверить: ч. 3 ст. 14 152-ФЗ — состав запроса*).

11.3. Ответ предоставляется в срок, установленный законом (*проверить: 10 рабочих дней с

возможностью продления не более чем на 5 рабочих дней — ч. 1 ст. 20 и ч. 2 ст. 21 152-ФЗ,

уточнить по актуальной редакции*).

11.4. Отзыв согласия не влияет на законность обработки, осуществлённой до отзыва. После отзыва

Оператор вправе продолжить обработку при наличии иного основания, предусмотренного ч. 2 ст. 9

152-ФЗ.

12. Меры по обеспечению безопасности (ст. 18.1 и ст. 19 152-ФЗ)

Оператор принимает следующие меры:

• назначает лицо, ответственное за организацию обработки персональных данных, — {{ОТВЕТСТВЕННЫЙ}},

контакт: {{EMAIL}} (*проверить: ст. 22.1 152-ФЗ*);

• издаёт локальные акты по вопросам обработки ПДн, определяющие процедуры, направленные на

предотвращение и выявление нарушений (политика, положение об обработке, перечень допущенных лиц,

порядок реагирования на запросы субъектов, порядок уничтожения);

• применяет правовые, организационные и технические меры по ст. 19 152-ФЗ: разграничение доступа,

аутентификация, хеширование паролей, шифрование каналов передачи (HTTPS), резервное копирование,

журналирование доступа;

• определяет угрозы безопасности и уровень защищённости информационной системы

(*проверить: постановление Правительства РФ от 01.11.2012 № 1119; требуется акт определения

уровня защищённости*);

• осуществляет внутренний контроль соответствия обработки требованиям закона;
• знакомит работников, осуществляющих обработку, с положениями законодательства и локальных актов

и обучает их;

• обеспечивает неограниченный доступ к настоящей Политике;
• осуществляет оценку вреда, который может быть причинён субъектам в случае нарушения 152-ФЗ

(*проверить: п. 5 ч. 1 ст. 18.1 152-ФЗ и приказ Роскомнадзора с критериями оценки вреда*);

• в случае неправомерной передачи (предоставления, распространения, доступа) ПДн уведомляет

уполномоченный орган в установленные сроки (*проверить: ч. 3.1 ст. 21 152-ФЗ — уведомление в

течение 24 часов о факте инцидента и в течение 72 часов о результатах внутреннего расследования*).

13. Файлы cookie

Состав, цели и порядок получения согласия на обработку файлов cookie описаны в

COOKIES.md.

14. Уведомление уполномоченного органа

Оператор направил (направляет) в Роскомнадзор уведомление об обработке персональных данных

(*проверить: ст. 22 152-ФЗ — уведомление подаётся до начала обработки; с 01.09.2022 перечень

исключений существенно сокращён, обработка данных работников и пользователей сайта, как правило,

требует уведомления; отдельное уведомление — о намерении осуществлять трансграничную передачу

(ст. 12) и об инцидентах (ст. 21)*). Сведения об Операторе доступны в реестре операторов на сайте

Роскомнадзора.

15. Изменения Политики

Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации по адресу

размещения Политики, если иное не указано в новой редакции. Действующая редакция всегда доступна по

адресу https://taxra.ru/legal/privacy.

16. Контакты

По вопросам обработки ПДн: {{EMAIL}}, {{АДРЕС}}, ответственный за организацию обработки ПДн —

{{ОТВЕТСТВЕННЫЙ}}.

Надзорный орган: Федеральная служба по надзору в сфере связи, информационных технологий и массовых

коммуникаций (Роскомнадзор).