Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее - «Политика») определяет политику Общества с ограниченной ответственностью «ЛИГАЛ СИСТЕМЫ» (ОГРН 1237700761572, ИНН 9701264833) (далее - «Оператор») в отношении обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных.

1.2. Политика разработана во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее - «Закон № 152-ФЗ») и подлежит опубликованию в неограниченном доступе в информационно-телекоммуникационной сети «Интернет».

1.3. Политика применяется в соответствии с Конституцией Российской Федерации, Законом № 152-ФЗ, Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Трудовым кодексом Российской Федерации, постановлением Правительства Российской Федерации от 01.11.2012 № 1119, приказом ФСТЭК России от 18.02.2013 № 21 и иными нормативными правовыми актами Российской Федерации.

1.4. Политика действует в отношении всех персональных данных, обрабатываемых Оператором, в том числе при использовании принадлежащих Оператору сайтов и сервисов: legaltrack.ru, мобильного приложения «Лигал.Трэк» (далее совместно - «Сервис»).

1.5. Ознакомление с Политикой не является и не заменяет собой согласие субъекта персональных данных на обработку персональных данных. Согласие оформляется отдельным документом в порядке, предусмотренном разделом 9 Политики.

1.6. Актуальная редакция Политики размещена по адресу: https://legaltrack.ru/privacy.

2. Термины и определения

2.1. Термины, используемые в Политике, применяются в значениях, определённых статьёй 3 Закона № 152-ФЗ. Дополнительно используются следующие термины:

Пользователь - физическое лицо, зарегистрированное в Сервисе либо использующее Сервис, в том числе действующее от имени юридического лица или индивидуального предпринимателя.

Пользовательский контент - документы, изображения, аудиозаписи и иные материалы, самостоятельно загружаемые Пользователем в Сервис для обработки (распознавание текста и таблиц, транскрибация, анализ с использованием алгоритмов машинного обучения).

Судебные сведения - сведения, размещённые в открытом доступе в государственных информационных системах и на официальных сайтах судов Российской Федерации, включая ГАС «Правосудие», сервис «Картотека арбитражных дел», Банк данных исполнительных производств ФССП России.

3. Сведения об Операторе

3.1. Реквизиты Оператора:

3.2. Оператор включён в реестр операторов, осуществляющих обработку персональных данных, ведение которого осуществляет Роскомнадзор.

3.3. Ответственный за организацию обработки персональных данных назначается приказом генерального директора Оператора. Обращения по вопросам обработки персональных данных направляются по адресу: support@legaltrack.ru, либо почтой по адресу места нахождения Оператора с пометкой «Ответственному за организацию обработки персональных данных».

4. Принципы обработки персональных данных

4.1. Обработка персональных данных осуществляется на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых и законных целей, и не осуществляется в целях, несовместимых с целями сбора.

4.2. Обрабатываются только те персональные данные, которые отвечают целям обработки. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям и не являются избыточными по отношению к ним.

4.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

4.4. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.

4.5. Отказ Пользователя от предоставления персональных данных, не являющихся необходимыми для заключения и исполнения договора, не влечёт отказа в предоставлении Сервиса.

5. Категории субъектов персональных данных и состав обрабатываемых данных

5.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

5.2. Оператор не осуществляет обработку биометрических персональных данных в значении статьи 11 Закона № 152-ФЗ и не размещает такие данные в единой биометрической системе.

5.3. Оператор не осуществляет целенаправленный сбор специальных категорий персональных данных, предусмотренных статьёй 10 Закона № 152-ФЗ. Вместе с тем Оператор допускает, что такие сведения (о состоянии здоровья, о судимости, об интимной жизни, иные) могут содержаться в Судебных сведениях и в Пользовательском контенте. Порядок обработки таких сведений определён разделом 7 Политики.

5.4. Сервис не предназначен для лиц, не достигших возраста 18 лет. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних. При выявлении факта регистрации несовершеннолетнего лица соответствующая учётная запись подлежит блокировке, а персональные данные - уничтожению.

6. Цели, правовые основания и сроки обработки

6.1. Оператор обрабатывает персональные данные в следующих целях:

6.2. По достижении целей обработки либо в случае утраты необходимости в достижении этих целей персональные данные подлежат уничтожению в срок, не превышающий 30 дней, если иное не предусмотрено законодательством или договором.

7. Особенности обработки сведений о третьих лицах

7.1. Функциональность Сервиса предполагает обработку сведений о лицах, не являющихся Пользователями (участники судебных дел, стороны исполнительных производств, собственники транспортных средств, лица, упомянутые в Пользовательском контенте).

7.2. В отношении Судебных сведений Оператор действует как оператор персональных данных и осуществляет обработку без согласия субъектов на основании пункта 11 части 1 статьи 6 Закона № 152-ФЗ, поскольку соответствующие сведения подлежат опубликованию или обязательному раскрытию в силу федерального закона. Оператор не осуществляет обработку таких сведений в объёме, превышающем объём их официального опубликования.

7.3. В отношении Пользовательского контента Оператор действует как лицо, осуществляющее обработку персональных данных по поручению Пользователя (часть 3 статьи 6 Закона № 152-ФЗ). Оператором в отношении таких данных является Пользователь. Обязанность по получению согласия субъектов персональных данных и по определению правового основания обработки лежит на Пользователе. Соответствующее поручение и его условия зафиксированы в Пользовательском соглашении.

7.4. При обработке Пользовательского контента Оператор: обрабатывает данные исключительно в объёме и в целях, указанных в поручении; не раскрывает содержание материалов третьим лицам; не использует материалы для обучения моделей машинного обучения без отдельного согласия Пользователя; обеспечивает конфиденциальность и безопасность данных.

7.5. Специальные категории персональных данных, содержащиеся в Судебных сведениях и Пользовательском контенте, не выделяются Оператором в отдельные массивы, не используются для профилирования, не передаются третьим лицам и хранятся с применением тех же мер защиты, что и иные обрабатываемые данные.

7.6. Лицо, сведения о котором обрабатываются в соответствии с настоящим разделом, вправе направить Оператору требование в порядке, предусмотренном разделом 11 Политики.

8. Файлы cookie и системы веб-аналитики

8.1. Сервис использует файлы cookie и аналогичные технологии. Порядок их использования, состав, назначение и сроки хранения определены отдельным документом - Политикой использования файлов cookie, размещённой по адресу https://legaltrack.ru/cookies.

8.2. Строго необходимые (технические) файлы cookie устанавливаются на основании пункта 5 части 1 статьи 6 Закона № 152-ФЗ и не требуют получения согласия. Аналитические и функциональные файлы cookie устанавливаются исключительно после получения согласия Пользователя, выраженного посредством информационного баннера при первом посещении Сервиса.

8.3. Оператор использует систему веб-аналитики «Яндекс Метрика» (правообладатель - ООО «ЯНДЕКС», Российская Федерация). Обрабатываемые сведения: IP-адрес, идентификатор посетителя, сведения об устройстве и браузере, источник перехода, сведения о просмотренных страницах и совершённых действиях. Данные обрабатываются в обезличенном виде в статистических целях. Функциональность записи действий посетителя («Вебвизор») не используется.

8.4. Оператор не использует сервисы Google Analytics и иные системы веб-аналитики, предполагающие передачу сведений о посетителях на территорию иностранных государств.

8.5. Пользователь вправе в любой момент отозвать согласие на использование аналитических и функциональных файлов cookie, изменив соответствующие настройки в Сервисе либо в настройках браузера.

9. Порядок получения согласия

9.1. Согласие на обработку персональных данных даётся Пользователем конкретно, предметно, информированно, сознательно и однозначно (часть 1 статьи 9 Закона № 152-ФЗ) путём проставления отметки в соответствующем поле формы регистрации или иной формы Сервиса. Поле не является предзаполненным; отправка формы без проставления отметки невозможна.

9.2. Согласие на обработку персональных данных оформляется отдельно от согласия на получение рекламных сообщений и отдельно от согласия на распространение персональных данных. Отказ от предоставления факультативных согласий не препятствует использованию Сервиса.

9.3. Формы согласий размещены в Сервисе и доступны по ссылкам, приведённым непосредственно у соответствующих полей.

9.4. Согласие может быть отозвано в любой момент путём направления уведомления по адресу support@legaltrack.ru либо в письменной форме по адресу места нахождения Оператора. Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней с даты поступления отзыва, за исключением случаев, когда обработка допускается без согласия субъекта в силу закона.

10. Порядок и условия обработки. Передача персональных данных

10.1. Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации и без использования таких средств.

10.2. При сборе персональных данных, в том числе посредством сети «Интернет», Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

10.3. Оператор вправе поручить обработку персональных данных другому лицу на основании заключаемого договора при условии соблюдения требований части 3 статьи 6 Закона № 152-ФЗ. Категории лиц, привлекаемых Оператором:

поставщик услуг размещения вычислительных мощностей (центр обработки данных на территории Российской Федерации) - в целях хранения и обработки данных;

оператор платёжной инфраструктуры - в целях приёма платежей; полные реквизиты платёжных карт Оператору не передаются и им не обрабатываются;

операторы связи и сервисы доставки сообщений - в целях направления SMS-сообщений и сообщений электронной почты;

организации, оказывающие Оператору бухгалтерские, юридические и аудиторские услуги.

10.4. Иным третьим лицам персональные данные передаются только в следующих случаях: при наличии согласия субъекта персональных данных; по мотивированному запросу уполномоченных государственных органов в порядке, установленном законодательством; в целях защиты прав и законных интересов Оператора в суде.

10.5. Оператор не осуществляет продажу персональных данных и не передаёт их в рекламных целях третьим лицам.

11. Трансграничная передача персональных данных

11.1. Оператор не осуществляет трансграничную передачу персональных данных, за исключением случая, указанного в пункте 11.2 Политики.

11.2. При использовании мобильного приложения «Лигал.Трэк» доставка push-уведомлений на устройства под управлением операционной системы iOS осуществляется через сервис Apple Push Notification service (Apple Inc., Соединённые Штаты Америки), на устройства под управлением операционной системы Android - через сервис доставки уведомлений соответствующего поставщика операционной системы. При этом передаётся обезличенный токен устройства и текст уведомления; иные персональные данные не передаются.

11.3. До начала трансграничной передачи Оператор направляет в Роскомнадзор уведомление, предусмотренное частью 3 статьи 12 Закона № 152-ФЗ.

11.4. Пользователь вправе отказаться от получения push-уведомлений в настройках приложения или устройства; в этом случае трансграничная передача в отношении такого Пользователя не осуществляется.

12. Права субъекта персональных данных

12.1. Субъект персональных данных вправе:

получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 Закона № 152-ФЗ;

требовать уточнения персональных данных, их блокирования или уничтожения в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

отозвать согласие на обработку персональных данных;

требовать прекращения обработки персональных данных в целях продвижения товаров, работ и услуг;

требовать удаления учётной записи и связанных с ней персональных данных;

обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

12.2. Порядок направления и рассмотрения запросов субъектов персональных данных определён отдельным документом - Правилами рассмотрения запросов субъектов персональных данных и их представителей, размещёнными по адресу https://legaltrack.ru/pd-requests.

12.3. Оператор предоставляет ответ на запрос в течение 10 рабочих дней с даты его получения. Указанный срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту уведомления о продлении с обоснованием причин.

12.4. Требование об уточнении, блокировании или уничтожении персональных данных подлежит исполнению в течение 7 рабочих дней с даты предоставления субъектом сведений, подтверждающих обоснованность требования.

13. Меры по обеспечению безопасности персональных данных

13.1. В соответствии с частью 1 статьи 18.1 и статьёй 19 Закона № 152-ФЗ Оператор принимает следующие правовые, организационные и технические меры:

13.1.1. Правовые и организационные меры:

назначение ответственного за организацию обработки персональных данных;

издание локальных актов, определяющих политику и процедуры обработки и защиты персональных данных, а также перечень лиц, допущенных к обработке;

ознакомление работников с положениями законодательства о персональных данных и локальными актами Оператора, обучение работников;

осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства не реже одного раза в год;

оценка вреда, который может быть причинён субъектам персональных данных, и определение актуальных угроз безопасности;

установление режима конфиденциальности и включение соответствующих условий в трудовые договоры и договоры с контрагентами;

организация режима доступа в помещения, где размещены носители персональных данных.

13.1.2. Технические меры:

шифрование каналов передачи данных с использованием протокола TLS;

хранение паролей исключительно в виде необратимых хэш-значений;

разграничение прав доступа по ролевой модели, применение принципа минимальных привилегий;

двухфакторная аутентификация для административного доступа;

ведение и хранение журналов событий безопасности, регистрация действий пользователей и администраторов;

применение средств защиты информации от несанкционированного доступа и средств обнаружения вторжений;

резервное копирование с контролем целостности резервных копий;

регулярный анализ защищённости и устранение выявленных уязвимостей.

13.2. Оператор определил уровень защищённости персональных данных при их обработке в информационных системах в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119 и реализует состав мер, предусмотренный приказом ФСТЭК России от 18.02.2013 № 21.

14. Действия при инцидентах, связанных с персональными данными

14.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор уведомляет Роскомнадзор:

в течение 24 часов с момента выявления инцидента - о самом инциденте, предполагаемой причине, предполагаемом вреде, принятых мерах и о лице, уполномоченном на взаимодействие с Роскомнадзором;

в течение 72 часов с момента выявления инцидента - о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при их установлении).

14.2. Оператор ведёт учёт инцидентов и принимает меры по устранению их последствий и предупреждению повторных инцидентов.

15. Заключительные положения

15.1. Оператор вправе вносить изменения в Политику. Новая редакция Политики размещается в Сервисе не позднее чем за 10 календарных дней до вступления её в силу, за исключением случаев, когда изменения обусловлены изменением требований законодательства и подлежат применению с более ранней даты.

15.2. Уведомление о размещении новой редакции Политики направляется зарегистрированным Пользователям по адресу электронной почты, указанному при регистрации, либо посредством уведомления в Сервисе.

15.3. Изменение Политики не влечёт изменения объёма и целей обработки персональных данных, на которые ранее было получено согласие субъекта; при необходимости расширения объёма или целей обработки Оператор получает новое согласие.

15.4. Признание отдельного положения Политики недействительным не влечёт недействительности иных её положений.

15.5. К отношениям, возникающим в связи с обработкой персональных данных, применяется право Российской Федерации.

Генеральный директор

ООО «ЛИГАЛ СИСТЕМЫ» __________________ / Милованова В. С. /

М.П.