Политика в отношении обработки персональных данных
PLANDO_LEGAL_NAME, PLANDO_LEGAL_TAX_ID,
PLANDO_LEGAL_ADDRESS в .env.
Оператор: [не заполнено: operator_name] , УНП [не заполнено: operator_tax_id] , [не заполнено: operator_address] .
Настоящая Политика утверждена во исполнение статьи 15 Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон) и определяет порядок обработки персональных данных оператором (далее — plando) и реализуемые меры их защиты.
1. Две роли plando
plando выступает в двух различных качествах, и от этого зависит объём его обязанностей.
1.1. plando как оператор
В отношении следующих категорий субъектов plando самостоятельно определяет цели и порядок обработки:
- владельцы организаций и их работники, зарегистрированные в сервисе как пользователи;
- лица, обращающиеся к plando через формы обратной связи, почту, мессенджеры;
- посетители сайта plando.by;
- участники партнёрской (реферальной) программы.
1.2. plando как уполномоченное лицо
В отношении клиентов организаций — физических лиц, которые записываются на занятия, покупают абонементы и услуги, — оператором является организация. plando обрабатывает эти данные исключительно по её поручению на основании договора, содержащего условия, предусмотренные статьёй 7 Закона (Поручение на обработку персональных данных).
Это означает:
- plando не определяет цели обработки данных клиентов организаций и не использует их в собственных целях, в том числе для рекламы;
- ответственность перед клиентом организации за обработку его данных несёт организация; plando отвечает перед организацией в соответствии с договором;
- запросы клиентов организаций об их данных адресуются организации; plando оказывает ей техническое содействие в их исполнении.
2. Персональные данные, обрабатываемые plando как оператором
2.1. Данные пользователей сервиса (владельцы организаций, работники): фамилия и имя, адрес электронной почты, номер телефона, логин, хэш пароля, роль и права доступа, принадлежность к организации, сведения о входах в систему.
2.2. Расчётные данные: наименование, УНП, юридический адрес и банковские реквизиты организации, сведения о выставленных счетах и поступивших платежах.
2.3. Технические данные: IP-адрес, сведения о браузере и устройстве, дата и время обращения, запрошенные адреса страниц, идентификаторы файлов cookie.
2.4. Данные обращений: содержание сообщения и контактные данные, указанные обратившимся лицом.
2.5. Данные участников партнёрской программы: имя, контактные данные, реквизиты для выплаты вознаграждения, сведения о привлечённых регистрациях.
plando не собирает целенаправленно специальные персональные данные (сведения о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, биометрические и генетические данные) в отношении субъектов, названных в пункте 1.1.
3. Цели обработки
| Категория данных | Цель |
|---|---|
| 2.1 | предоставление доступа к сервису, идентификация пользователя, разграничение прав, обеспечение безопасности учётных записей |
| 2.2 | заключение и исполнение договора, выставление счетов, бухгалтерский и налоговый учёт |
| 2.3 | обеспечение работоспособности и безопасности сервиса, расследование инцидентов, статистика посещений |
| 2.4 | рассмотрение обращения и направление ответа |
| 2.5 | учёт привлечённых пользователей и выплата вознаграждения |
4. Правовые основания
4.1. Договор. Основная часть обработки осуществляется на основании договора, заключённого с субъектом персональных данных, в целях совершения действий, установленных этим договором. В соответствии со статьёй 6 Закона согласие субъекта в этом случае не требуется.
4.2. Требования законодательства. Обработка расчётных данных в целях бухгалтерского и налогового учёта, хранение первичных документов.
4.3. Согласие субъекта. Запрашивается отдельно для целей, не охватываемых договором, — в частности, для направления рекламных и информационных рассылок, а также для обработки файлов cookie аналитического и рекламного назначения. Согласие может быть отозвано в любой момент (раздел 8).
4.4. Поручение оператора. Обработка данных клиентов организаций осуществляется на основании поручения организации в соответствии со статьёй 7 Закона.
5. Сроки обработки
- данные пользователей сервиса — в течение срока действия договора с организацией и 30 календарных дней после его прекращения, отведённых на выгрузку данных, после чего удаляются;
- расчётные документы — в течение сроков, установленных законодательством о бухгалтерском учёте и архивном деле;
- технические данные и журналы событий — в течение срока, установленного внутренними актами оператора, но не более необходимого для расследования инцидентов и обеспечения безопасности;
- данные, обрабатываемые на основании согласия, — до достижения цели обработки либо до отзыва согласия, в зависимости от того, что наступит ранее;
- данные клиентов организаций — в соответствии с поручением организации.
6. Передача данных третьим лицам
plando не продаёт и не передаёт персональные данные третьим лицам для их самостоятельных целей. Привлечение третьих лиц ограничено обеспечением работы сервиса; каждое такое лицо действует как уполномоченное лицо на основании договора, содержащего условия статьи 7 Закона:
| Назначение | Категории передаваемых данных |
|---|---|
| размещение серверов и резервных копий (Республика Беларусь) | все данные сервиса в зашифрованном либо защищённом виде |
| отправка SMS-сообщений | номер телефона, текст сообщения |
| отправка электронной почты | адрес электронной почты, текст сообщения |
| доставка сообщений в мессенджеры | идентификатор получателя, текст сообщения |
Актуальный перечень привлечённых лиц предоставляется организации по запросу.
Передача данных государственным органам осуществляется в случаях и в порядке, предусмотренных законодательными актами.
6.1. Мессенджеры как канал связи
Хранение и обработка данных сервиса осуществляются на территории Республики Беларусь. При этом, если пользователь или клиент организации выбрал получение уведомлений через мессенджер, доставка таких сообщений выполняется средствами соответствующего мессенджера, инфраструктура которого может находиться за пределами Республики Беларусь. В сообщение включается минимально необходимый объём сведений. Использование этого канала является добровольным: от уведомлений в мессенджере можно отказаться, сохранив иные каналы связи.
7. Меры защиты
Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 16 и 17 Закона, в том числе:
- назначено лицо, ответственное за осуществление внутреннего контроля за обработкой персональных данных;
- утверждено Положение о порядке обработки персональных данных, определён перечень обрабатываемых данных и круг работников, допущенных к их обработке;
- передача данных по сети осуществляется по защищённому протоколу (TLS);
- персональные данные повышенной чувствительности (номера телефонов, заметки о клиентах) хранятся в базе данных в зашифрованном виде с использованием отдельного ключа шифрования, не совпадающего с ключом приложения;
- доступ работников к данным разграничен по ролям; доступ работников поддержки к данным конкретной организации возможен только с фиксацией основания и протоколированием всех действий;
- ведётся журнал действий, изменяющих данные, с указанием пользователя, времени и содержания изменения;
- выполняется регулярное резервное копирование с шифрованием резервных копий;
- утверждён регламент реагирования на нарушения систем защиты персональных данных, предусматривающий уведомление Национального центра защиты персональных данных и заинтересованных операторов.
8. Права субъекта персональных данных
В соответствии со статьями 10–15 Закона субъект вправе:
- получать информацию о своих персональных данных, обрабатываемых оператором, и сведения о предоставлении их третьим лицам;
- требовать внесения изменений в свои персональные данные в случае их неполноты, устарелости или недостоверности;
- отозвать ранее данное согласие и требовать прекращения обработки и удаления данных, если обработка осуществлялась на основании согласия и отсутствуют иные правовые основания;
- обжаловать действия (бездействие) и решения оператора в Национальный центр защиты персональных данных либо в судебном порядке.
Порядок обращения. Заявление направляется на адрес privacy@plando.by либо по почте на адрес [не заполнено: operator_address] . Заявление должно содержать фамилию, имя, отчество (при наличии), адрес места жительства, дату рождения, изложение существа требования, личную подпись либо электронную цифровую подпись.
Сроки рассмотрения соответствуют статьям 11–13 Закона и составляют от 5 до 15 рабочих дней в зависимости от характера требования. При отказе в удовлетворении требования оператор сообщает мотивы отказа.
Если требование касается данных, обрабатываемых plando по поручению организации, заявление переадресуется соответствующей организации как оператору, о чём заявитель уведомляется.
9. Файлы cookie
Порядок обработки файлов cookie определён отдельным документом — Политикой в отношении файлов cookie.
10. Изменение Политики
Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция размещается на plando.by с указанием версии. При существенном изменении условий обработки оператор дополнительно уведомляет пользователей сервиса по адресу электронной почты, указанному в учётной записи.
11. Контакты
Вопросы по обработке персональных данных:
privacy@plando.by
Ответственный за внутренний контроль: [не заполнено: responsible_person]