Политика в отношении обработки персональных данных сервиса «КАПЭ»
1. Общие положения
1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных в сервисе «КАПЭ» (далее — Сервис), доступном по адресу https://kape.pro и на его поддоменах.
1.2. Оператор персональных данных:
```
Индивидуальный предприниматель Соколов Сергей Олегович
ИНН 784100382086
Электронная почта для обращений по вопросам персональных данных: privacy@kape.pro
```
1.3. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в его исполнение нормативными актами.
1.4. Политика распространяется на все персональные данные, которые Оператор получает в связи с работой Сервиса и своего сайта. Действие Политики не распространяется на обработку персональных данных на сайтах и в информационных системах третьих лиц, включая сайты клиентов Оператора, даже если они созданы средствами Сервиса, — в этой части действует политика соответствующего клиента.
1.5. Используя Сервис и сайт Оператора, субъект персональных данных подтверждает, что ознакомлен с настоящей Политикой.
2. Термины
Клиент — юридическое лицо или индивидуальный предприниматель (застройщик, девелопер, агентство недвижимости), заключивший с Оператором договор на использование Сервиса.
Пользователь — физическое лицо, которому Клиент предоставил доступ к своему аккаунту в Сервисе: сотрудник, руководитель, представитель партнёрского агентства.
Покупатель — физическое лицо, которое взаимодействует с публичными материалами Клиента, созданными средствами Сервиса: посещает сайт посёлка, отправляет заявку, открывает коммерческое предложение.
Посетитель — физическое лицо, посещающее сайт Оператора https://kape.pro.
Иные термины употребляются в значениях, установленных 152-ФЗ.
3. Принципы обработки
Оператор обрабатывает персональные данные на основе принципов законности и справедливости; ограничения обработки достижением конкретных, заранее определённых и законных целей; недопустимости объединения баз данных, созданных для несовместимых целей; обработки только тех данных, которые отвечают целям; обеспечения точности и достаточности данных; хранения в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки.
4. Обработка персональных данных, в отношении которой Оператор выступает оператором
4.1. Посетители сайта https://kape.pro
| Категория данных | Цель | Правовое основание |
|---|---|---|
| Имя, адрес электронной почты, номер телефона, наименование компании, текст сообщения — из форм обратной связи и заявок на демонстрацию | Ответ на обращение, демонстрация Сервиса, заключение договора | Согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ); действия для заключения договора по инициативе субъекта (п. 5 ч. 1 ст. 6) |
| IP-адрес, тип и язык браузера, операционная система, источник перехода, просмотренные страницы, идентификаторы cookie-файлов и систем веб-аналитики | Обеспечение работы сайта, защита от автоматизированных атак, статистика посещаемости, оценка эффективности маркетинга | Законные интересы Оператора (п. 7 ч. 1 ст. 6 152-ФЗ) |
| Адрес электронной почты — при подписке на рассылку | Направление информационных и рекламных сообщений | Согласие субъекта; ч. 1 ст. 18 Федерального закона «О рекламе» |
4.2. Пользователи аккаунтов Клиентов
Персональные данные Пользователей Оператор обрабатывает как самостоятельный оператор в целях предоставления доступа к Сервису, идентификации, обеспечения безопасности и оказания поддержки.
| Категория данных | Цель |
|---|---|
| Фамилия, имя, адрес электронной почты, номер телефона, должность, фотография профиля, имя пользователя в мессенджерах, язык интерфейса, роль в аккаунте | Создание и ведение учётной записи, разграничение прав, направление уведомлений и служебных писем |
| Хеш пароля, идентификаторы и сроки действия сессий и токенов | Аутентификация, защита учётной записи, возможность отзыва доступа |
| IP-адрес, сведения о браузере и устройстве, дата и время действий, совершённые в Сервисе действия (журнал активности) | Обеспечение безопасности, расследование инцидентов, разбор спорных ситуаций, восстановление хронологии изменений |
| Содержание обращений в поддержку, приложенные файлы и снимки экрана | Обработка обращений |
Правовые основания: исполнение договора с Клиентом, стороной которого субъект не является (п. 5 ч. 1 ст. 6 152-ФЗ — обработка необходима для исполнения договора и по поручению Клиента как работодателя), законные интересы Оператора в обеспечении безопасности Сервиса (п. 7 ч. 1 ст. 6), а также согласие субъекта, предоставленное при регистрации или принятии приглашения.
4.3. Представители Клиентов и контрагентов
Фамилия, имя, отчество, должность, реквизиты для связи, сведения о полномочиях, платёжные реквизиты — в целях заключения и исполнения договоров, ведения бухгалтерского и налогового учёта. Основание — исполнение договора и требования законодательства (п. 2, п. 5 ч. 1 ст. 6 152-ФЗ).
5. Обработка персональных данных по поручению Клиентов
5.1. Сервис — инструмент, которым Клиент ведёт собственные продажи. Персональные данные Покупателей — имя, номер телефона, адрес электронной почты, текст обращения, сведения о бюджете и предпочтениях, комментарии менеджеров, история взаимодействия с коммерческим предложением, сведения об источнике перехода (в том числе метки рекламных кампаний и идентификаторы систем веб-аналитики), IP-адрес и сведения об устройстве при просмотре коммерческого предложения — Клиент вносит в Сервис самостоятельно либо они поступают через формы на его ресурсах.
5.2. В отношении таких данных оператором является Клиент. Оператор Сервиса обрабатывает их по поручению Клиента на основании ч. 3 ст. 6 152-ФЗ, в объёме и в целях, определённых Клиентом, не определяет самостоятельно цели обработки и не использует эти данные в собственных интересах.
5.3. Оператор не раскрывает содержание таких данных третьим лицам иначе как по указанию Клиента или по основаниям, предусмотренным законом.
5.4. Обращения субъектов персональных данных, чьи данные обрабатываются по поручению Клиента, направляются Клиенту. Получив такое обращение, Оператор в разумный срок переадресует его соответствующему Клиенту и уведомляет об этом заявителя. Оператор не вправе самостоятельно предоставлять сведения, изменять и удалять такие данные без указания Клиента, за исключением случаев, предусмотренных законом.
5.5. Условия поручения, включая перечень действий, требования к конфиденциальности и меры защиты, определены отдельным документом — Поручением на обработку персональных данных, являющимся приложением к договору с Клиентом.
5.6. Партнёрские агентства и частные агенты ведут собственные аккаунты и являются самостоятельными Клиентами Оператора. Доступа к персональным данным покупателей других Клиентов они не получают: это ограничение обеспечивается разграничением прав на уровне системы управления базой данных. Сведения о покупателях, которых агентство приводит застройщику, поступают от агентства как от самостоятельного оператора; правовое основание такой передачи обеспечивает агентство. Оператор в этой передаче остаётся лицом, обрабатывающим данные по поручению каждой из сторон в её собственном аккаунте.
6. Файлы cookie и системы аналитики на сайте Оператора
6.1. На сайте https://kape.pro используются файлы cookie:
- строго необходимые — аутентификация, поддержание сессии, защита от подделки запросов, сохранение выбора языка и настроек интерфейса. Без них сайт не работает; они устанавливаются на основании законного интереса Оператора и не требуют отдельного согласия;
- аналитические — сбор обезличенной статистики посещаемости и поведения на сайте.
6.2. Для сбора статистики Оператор использует Яндекс Метрику (ООО «Яндекс», Российская Федерация). Метрика собирает сведения о посещениях сайта, включая идентификатор пользователя в cookie, IP-адрес, сведения о браузере и устройстве, просмотренные страницы и действия на них. Условия обработки — на стороне сервиса: https://yandex.ru/legal/confidential/.
6.3. Субъект вправе отказаться от файлов cookie, настроив браузер на их блокировку или удалив сохранённые файлы. При отключении строго необходимых cookie работа Сервиса невозможна.
6.4. На публичных сайтах, созданных Клиентами средствами Сервиса, состав счётчиков и cookie определяет Клиент; он же отвечает за информирование посетителей и получение согласий, если они требуются.
7. Передача персональных данных третьим лицам
7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам в маркетинговых целях.
7.2. Для обеспечения работы Сервиса Оператор привлекает поставщиков услуг, которые получают доступ к данным в объёме, необходимом для оказания их услуг, и связаны обязанностью конфиденциальности. Перечень на дату редакции:
| Поставщик | Роль | Что передаётся | Размещение |
|---|---|---|---|
| ООО «Бегет» (Beget) | Хостинг серверов, база данных, объектное хранилище файлов, резервные копии | Все данные Сервиса, включая файлы Клиентов | Российская Федерация |
| ООО «Яндекс» — Yandex Cloud Postbox | Отправка электронной почты | Адрес получателя, имя, содержание письма (подтверждение адреса, приглашение, сброс пароля, уведомление о заявке, ссылка на коммерческое предложение) | Российская Федерация |
| ООО «Яндекс» — Yandex SpeechKit | Распознавание речи в голосовых заметках менеджеров | Аудиозапись, которая может содержать персональные данные, названные менеджером | Российская Федерация |
| ООО «Яндекс» — Yandex Vision / OCR | Распознавание генеральных планов и изображений | Изображения планировок и объектов; персональные данные не передаются | Российская Федерация |
| ООО «Яндекс» — SmartCaptcha | Защита форм входа от автоматизированных атак | IP-адрес, сведения о браузере, результат проверки | Российская Федерация |
| ООО «Яндекс» — Метрика, Карты | Веб-аналитика сайта Оператора; отображение карты | Сведения о посещении, IP-адрес, идентификатор cookie; координаты объекта | Российская Федерация |
| АО «Точка» | Приём оплаты по договорам с Клиентами | Реквизиты плательщика, сведения о платеже | Российская Федерация |
| Telegram Messenger Inc. | Доставка служебных уведомлений в мессенджер — только тем Пользователям, которые сами подключили этот канал | Текст уведомления. Персональные данные в мессенджер не передаются: сообщения о новых заявках направляются без имени и контактных данных Покупателя | Персональные данные не передаются |
7.3. Оператор также использует внешние источники открытых данных (картографические и справочные сервисы, сервисы построения маршрутов, погодные сервисы). Запросы к ним выполняются серверами Оператора и содержат сведения об объектах недвижимости и координатах; персональные данные субъектов в такие запросы не включаются.
7.4. Функции Сервиса, основанные на технологиях машинного обучения (подготовка описаний и текстов), используют внешние поставщики моделей. В такие сервисы передаются сведения об объектах недвижимости и маркетинговые материалы; передача персональных данных Покупателей и Пользователей в них не предусмотрена. Клиент обязан не вносить персональные данные в поля, предназначенные для описаний объектов и маркетинговых текстов.
7.5. Персональные данные могут быть переданы уполномоченным государственным органам по основаниям и в порядке, установленным законодательством Российской Федерации.
7.6. Персональные данные могут быть переданы правопреемнику Оператора при реорганизации или приобретателю бизнеса — при условии сохранения целей обработки и режима защиты.
8. Трансграничная передача
8.1. Базы данных, содержащие персональные данные граждан Российской Федерации, при сборе, записи, систематизации, накоплении, хранении, уточнении и извлечении находятся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Серверы, база данных, объектное хранилище и резервные копии размещены у российского провайдера.
8.2. Оператор не осуществляет трансграничную передачу персональных данных.
8.3. При намерении осуществлять трансграничную передачу Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных до её начала в порядке ч. 3 ст. 12 152-ФЗ и вносит соответствующие изменения в настоящую Политику.
9. Сроки обработки и хранения
9.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки.
| Данные | Срок |
|---|---|
| Данные учётной записи Пользователя | В течение срока действия договора с Клиентом и 30 календарных дней после его прекращения; далее — удаление вместе с данными аккаунта |
| Данные, обрабатываемые по поручению Клиента | Определяются Клиентом; хранятся до удаления Клиентом либо до истечения 30 календарных дней после прекращения договора с ним |
| Токены сессий и восстановления доступа | От 15 минут до 30 суток в зависимости от вида токена |
| Аудиозаписи голосовых заметок | Не более 90 дней с даты записи, затем автоматическое удаление |
| Журнал действий в аккаунте, журналы доступа и безопасности | В течение срока действия договора с Клиентом и не более 3 лет после его прекращения — для расследования инцидентов и разрешения споров |
| Резервные копии | Не более 30 дней |
| Данные обращений через сайт Оператора | 3 года с даты последнего обращения |
| Данные, необходимые для бухгалтерского и налогового учёта | В сроки, установленные законодательством (не менее 5 лет) |
9.2. По достижении целей обработки, при отзыве согласия либо при истечении срока хранения данные уничтожаются или обезличиваются в срок, не превышающий 30 дней, если иной срок не установлен законом или договором. Уничтожение подтверждается актом в порядке, установленном уполномоченным органом.
10. Меры защиты
10.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного доступа, уничтожения, изменения, копирования и распространения, в том числе:
- назначено лицо, ответственное за организацию обработки персональных данных;
- утверждены внутренние документы, определяющие порядок обработки и перечень лиц, имеющих доступ;
- разграничение прав доступа: данные каждого Клиента изолированы на уровне системы управления базой данных, доступ к чужим данным технически невозможен;
- доступ работников Оператора к аккаунтам Клиентов возможен только для оказания поддержки и обеспечения безопасности, фиксируется в журнале с указанием причины и ограничен по времени; контактные данные Покупателей при таком доступе закрыты техническими средствами;
- передача данных между браузером и Сервисом защищена шифрованием (TLS);
- пароли хранятся в виде необратимых хешей;
- ссылки на непубличные файлы выдаются на ограниченный срок;
- ведётся резервное копирование;
- проводится контроль за принимаемыми мерами и оценка вреда, который может быть причинён субъектам.
10.2. При установлении факта неправомерной передачи персональных данных Оператор уведомляет уполномоченный орган в сроки, установленные ч. 3.1 ст. 21 152-ФЗ, а в отношении данных, обрабатываемых по поручению Клиента, — незамедлительно уведомляет Клиента как оператора.
11. Права субъекта персональных данных
11.1. Субъект вправе:
- получать сведения об обработке своих персональных данных в объёме ч. 7 ст. 14 152-ФЗ;
- требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
- отозвать согласие на обработку;
- отказаться от получения рекламных сообщений;
- обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных или в суд.
11.2. Обращение направляется по адресу privacy@kape.pro. Обращение должно содержать сведения, позволяющие идентифицировать заявителя и подтвердить его связь с обрабатываемыми данными: фамилию, имя, отчество, сведения о документе, удостоверяющем личность, либо иные сведения, подтверждающие факт обработки данных Оператором, и подпись.
11.3. Ответ предоставляется в течение 10 рабочих дней с даты получения обращения. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя о причинах продления.
11.4. Отзыв согласия направляется тем же способом. После отзыва Оператор прекращает обработку и уничтожает данные в срок не более 30 дней, за исключением случаев, когда обработка может продолжаться без согласия по основаниям ч. 2 ст. 9 152-ФЗ (в частности, для исполнения договора, защиты прав Оператора в суде, исполнения обязанностей, установленных законом).
11.5. Если обращение касается данных, обрабатываемых по поручению Клиента, применяется п. 5.4 настоящей Политики.
12. Несовершеннолетние
12.1. Сервис не предназначен для использования лицами, не достигшими 18 лет, и Оператор не осуществляет целенаправленного сбора их персональных данных.
12.2. При выявлении факта обработки данных несовершеннолетнего без согласия его законного представителя такие данные удаляются по обращению законного представителя.
13. Специальные категории и биометрические данные
Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные. Внесение таких данных в Сервис Клиентами запрещено договором.
14. Изменение Политики
14.1. Оператор вправе изменять настоящую Политику. Новая редакция размещается по адресу https://kape.pro/legal/privacy и вступает в силу с момента размещения, если в ней не указано иное.
14.2. Дата последней редакции указана в начале документа. Предыдущие редакции предоставляются по запросу.