Политика в отношении обработки персональных данных

1. Общие положения и термины

В настоящей Политике используются термины и определения в значениях, установленных Законом № 99-З и иными актами законодательства Республики Беларусь о защите персональных данных, в частности:

• персональные данные — любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано;
• субъект персональных данных — физическое лицо, в отношении которого осуществляется обработка персональных данных;
• оператор — государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, в том числе индивидуальный предприниматель, которые самостоятельно или совместно с иными указанными лицами организуют и (или) осуществляют обработку персональных данных;
• уполномоченное лицо — государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, в том числе индивидуальный предприниматель, которые в соответствии с актом законодательства, решением государственного органа, являющегося оператором, либо на основании договора с оператором осуществляют обработку персональных данных от имени оператора или в его интересах;
• обработка персональных данных — любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных;
• согласие субъекта персональных данных — свободное, однозначное, информированное выражение воли физического лица, посредством которого оно разрешает обработку своих персональных данных;
• предоставление персональных данных — действия, направленные на ознакомление с персональными данными определённых лиц или круга лиц;
• распространение персональных данных — действия, направленные на ознакомление с персональными данными неопределённого круга лиц;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства.

Иные термины, не определённые в настоящей Политике, применяются в значениях, установленных Законом № 99-З и другими актами законодательства Республики Беларусь.

2. Сведения об операторе

Оператором персональных данных является:

• Полное наименование: Общество с ограниченной ответственностью «СтандартСервисПлюс»;
• УНП: 790941445;
• Юридический адрес: 212002, Республика Беларусь, Могилёвская область, г. Могилёв, ул. Чайковского, д. 11, офис 411;
• Расчётный счёт: BY87ALFA30122A61120010270000 в ЗАО «Альфа-Банк», BIC ALFABY2X;
• Контактный адрес электронной почты для обращений субъектов персональных данных и связи с Оператором: support@vernu.by.

По всем вопросам, связанным с обработкой персональных данных, а также для реализации прав, предусмотренных законодательством, субъект персональных данных вправе обратиться к Оператору по адресу электронной почты support@vernu.by.

3. Категории субъектов и состав обрабатываемых персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов: пользователей Сервиса (зарегистрированных физических лиц), представителей и работников организаций-клиентов, а также физических лиц, выступающих контактными лицами контрагентов клиентов. Состав обрабатываемых персональных данных определяется целями обработки и функциональными возможностями Сервиса.

Данные пользователя (учётной записи)

• адрес электронной почты;
• фамилия и имя (ФИО);
• номер телефона;
• изображение профиля (аватар);
• языковая локаль;
• настройки уведомлений.

Данные аккаунта (организации)

• наименование организации;
• учётный номер плательщика (УНП);
• адрес электронной почты владельца аккаунта;
• платёжные данные аккаунта (маскированные данные привязанной платёжной карты и сведения о согласии на автоматическое списание) — состав таких данных приведён ниже в блоке «Платёжные данные (привязки карты)».

Данные рабочих пространств

• наименование рабочего пространства;
• учётный номер плательщика (УНП);
• юридическое наименование;
• юридический адрес;
• код ОКПО;
• элементы фирменного стиля.

Данные контрагентов клиента

• наименование;
• учётный номер плательщика (УНП);
• юридическое наименование;
• адреса электронной почты;
• номера телефонов;
• контактное лицо;
• заметки;
• статус в Государственном реестре плательщиков (ГРП МНС).

Данные документов

• номер документа;
• дата документа;
• сумма (в белорусских рублях, BYN);
• статусы и даты движения документа;
• вложения (файлы, имя файла, MIME-тип, размер).

Данные напоминаний и коммуникаций

• получатель (адрес электронной почты или номер телефона);
• тема и текст отправленного сообщения;
• стоимость отправки;
• идентификатор сообщения у провайдера рассылки.

Платёжные данные (привязки карты)

• последние 4 цифры номера платёжной карты;
• платёжная система (бренд) карты;
• срок действия карты;
• идентификатор привязки карты (токен);
• факт и дата согласия на автоматическое (рекуррентное) списание.

Сервис не запрашивает, не хранит и не обрабатывает полный номер платёжной карты (PAN) и код безопасности карты (CVV/CVC). Указанные данные вводятся пользователем непосредственно на защищённой платёжной странице банка-эквайера и обрабатываются на стороне банка-эквайера ЗАО «Альфа-Банк» в соответствии с требованиями международного стандарта безопасности данных индустрии платёжных карт (PCI DSS). Сервис получает от банка только маскированные данные карты и идентификатор привязки (токен).

Оператор не осуществляет обработку специальных категорий персональных данных и биометрических персональных данных. В случае если субъект самостоятельно размещает в Сервисе (в том числе в заметках, наименованиях или вложениях) сведения, не предусмотренные настоящей Политикой, ответственность за правомерность их размещения несёт лицо, разместившее такие сведения.

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные в следующих целях:

• регистрация, создание и ведение учётной записи пользователя, его аутентификация и авторизация в Сервисе;
• предоставление доступа к функциональным возможностям Сервиса и оказание услуг по контролю возврата подписанных бухгалтерских (первичных учётных) документов;
• ведение справочников контрагентов, рабочих пространств и документов в интересах клиента;
• формирование, отправка и контроль доставки напоминаний и иных коммуникаций по электронной почте, SMS и в мессенджере Viber;
• приём и обработка платежей за использование Сервиса, в том числе осуществление разовых и рекуррентных (автоматических) списаний с привязанной платёжной карты;
• выставление и учёт расчётов по тарифам, контроль соблюдения лимитов выбранного тарифного плана;
• информирование пользователя об изменениях в работе Сервиса, тарифах и условиях оказания услуг;
• обеспечение технической поддержки пользователей и рассмотрение их обращений;
• обеспечение безопасности Сервиса, предотвращение и выявление случаев неправомерного доступа, мошеннических действий и иных нарушений;
• исполнение обязанностей, возложенных на Оператора актами законодательства Республики Беларусь, в том числе законодательством о бухгалтерском учёте и отчётности, о налогообложении и об архивном деле.

5. Правовые основания обработки персональных данных

Обработка персональных данных осуществляется Оператором на правовых основаниях, предусмотренных статьёй 6 Закона № 99-З, в том числе:

• с согласия субъекта персональных данных, выраженного посредством совершения им действий, однозначно свидетельствующих о его согласии (в частности, регистрация в Сервисе, предоставление данных, проставление отметки о согласии при оформлении автоматического списания);
• при обработке персональных данных в целях заключения и (или) исполнения договора, стороной которого является субъект персональных данных, а также для совершения действий, предусмотренных договором, либо в целях принятия мер по требованию субъекта до заключения договора;
• в случаях, предусмотренных законодательными актами Республики Беларусь, когда обработка персональных данных необходима для выполнения обязанностей (полномочий), возложенных на Оператора, либо когда согласие субъекта не требуется в соответствии с Законом № 99-З.

Согласие на обработку персональных данных предоставляется субъектом свободно, однозначно и информированно. Согласие на автоматическое (рекуррентное) списание денежных средств с привязанной платёжной карты предоставляется отдельно; факт и дата предоставления такого согласия фиксируются Оператором.

Субъект персональных данных вправе в любое время отозвать данное им согласие в порядке, предусмотренном разделом 10 настоящей Политики. Отзыв согласия не влечёт прекращения обработки персональных данных, осуществляемой на иных правовых основаниях, предусмотренных Законом № 99-З.

6. Порядок, способы обработки и сроки хранения персональных данных

Обработка персональных данных осуществляется Оператором с использованием средств автоматизации (программно-аппаратных средств Сервиса) и без использования таких средств. Обработка включает сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, предоставление, удаление персональных данных и иные действия, совершаемые в объёме, необходимом для достижения целей, указанных в разделе 4 настоящей Политики.

Сбор персональных данных осуществляется при регистрации и использовании Сервиса, при заполнении пользователем сведений об организации, рабочих пространствах, контрагентах и документах, а также при оформлении и осуществлении платежей.

Оператор не осуществляет обработку персональных данных дольше, чем этого требуют цели их обработки, а также сроки, установленные актами законодательства Республики Беларусь, в том числе законодательством о бухгалтерском учёте и отчётности и об архивном деле.

• персональные данные пользователя и аккаунта обрабатываются в течение всего срока действия учётной записи и использования Сервиса, а после прекращения использования Сервиса (удаления учётной записи) — в течение 1 (одного) года, если иной срок не установлен законодательством или необходим для исполнения обязанностей Оператора; по истечении указанного срока такие данные удаляются или обезличиваются;
• данные о расчётах и платежах хранятся в течение сроков, установленных законодательством Республики Беларусь о бухгалтерском учёте, отчётности и налогообложении, но не менее 5 (пяти) лет с даты совершения соответствующей хозяйственной операции (платежа);
• данные документов, контрагентов и рабочих пространств обрабатываются в течение всего срока использования соответствующего рабочего пространства, а после его удаления — в течение 1 (одного) года, если более длительный срок хранения не установлен законодательством или не требуется для исполнения обязанностей Оператора и защиты его прав; по истечении указанного срока такие данные удаляются или обезличиваются;
• данные напоминаний и коммуникаций (включая сведения о получателе, теме и тексте сообщения, стоимости и идентификаторе отправки) обрабатываются в течение 3 (трёх) лет с даты отправки сообщения для целей подтверждения факта, содержания и стоимости отправки, после чего удаляются или обезличиваются.

По достижении целей обработки либо в случае отзыва согласия (при отсутствии иных правовых оснований для продолжения обработки) персональные данные подлежат прекращению обработки и (или) удалению (обезличиванию) в порядке и сроки, установленные Законом № 99-З.

7. Передача персональных данных третьим лицам и трансграничная передача

Оператор вправе поручать обработку персональных данных уполномоченным лицам на основании заключённых с ними договоров, предусматривающих обязанность таких лиц обеспечивать конфиденциальность и защиту персональных данных. Передача персональных данных осуществляется исключительно в объёме, необходимом для оказания услуги, и для следующих категорий уполномоченных лиц:

• банк-эквайер ЗАО «Альфа-Банк» — в целях приёма платежей и осуществления эквайринга (платёжный шлюз RBS);
• провайдеры рассылок — в целях отправки сообщений по электронной почте, SMS и в мессенджере Viber;
• хостинг-провайдер — в целях размещения и обеспечения функционирования Сервиса и хранения данных.

Оператор предоставляет персональные данные третьим лицам также в случаях, прямо предусмотренных законодательством Республики Беларусь (в том числе по требованию государственных органов в пределах их полномочий).

Инфраструктура Сервиса (VDS-сервер и база данных) размещается на территории Республики Беларусь. При этом при отправке напоминаний и иных сообщений через сторонних провайдеров рассылок (в том числе через мессенджер Viber и отдельных провайдеров электронной почты и SMS, инфраструктура которых может находиться за пределами Республики Беларусь) может осуществляться трансграничная передача ограниченного объёма персональных данных получателя (адреса электронной почты либо номера телефона и текста сообщения), необходимого для доставки соответствующего сообщения.

Трансграничная передача персональных данных осуществляется Оператором с соблюдением требований статьи 9 Закона № 99-З — только на территорию иностранных государств, обеспечивающих надлежащий уровень защиты прав субъектов персональных данных, либо при наличии иных оснований, предусмотренных законодательством, и при условии принятия мер, обеспечивающих защиту передаваемых данных. Иной трансграничной передачи персональных данных, помимо указанной выше, Оператор не осуществляет.

8. Меры по обеспечению защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных, в соответствии с требованиями Закона № 99-З и Закона Республики Беларусь «Об информации, информатизации и защите информации».

К техническим мерам защиты относятся, в частности:

• размещение инфраструктуры на VDS-сервере, расположенном на территории Республики Беларусь;
• использование базы данных PostgreSQL с разграничением доступа на уровне строк (Row-Level Security), обеспечивающим изоляцию данных разных пользователей и рабочих пространств;
• шифрование секретов с применением алгоритма AES-256-GCM;
• хранение файлов на стороне сервера (в объектном хранилище) с разграничением доступа;
• применение защищённых протоколов передачи данных при взаимодействии с Сервисом.

К организационным мерам защиты относятся: разграничение прав доступа работников Оператора к персональным данным, доступ к данным только уполномоченных лиц в объёме, необходимом для выполнения их обязанностей, а также установление обязанности по обеспечению конфиденциальности персональных данных.

9. Права субъекта персональных данных

В соответствии со статьями 10–15 Закона № 99-З субъект персональных данных имеет право:

• отозвать своё согласие на обработку персональных данных (статья 10 Закона № 99-З);
• получать информацию, касающуюся обработки своих персональных данных, а также требовать внесения изменений в свои персональные данные в случае, если они являются неполными, устаревшими или неточными (статья 11 Закона № 99-З);
• получать информацию о предоставлении своих персональных данных третьим лицам (статья 12 Закона № 99-З);
• требовать бесплатного прекращения обработки своих персональных данных, включая их удаление, при отсутствии оснований для обработки, предусмотренных Законом № 99-З и иными законодательными актами (статья 13 Закона № 99-З);
• обжаловать действия (бездействие) и решения Оператора, связанные с обработкой персональных данных, в порядке, предусмотренном законодательством об обращениях граждан и юридических лиц (статья 15 Закона № 99-З).

Реализация перечисленных прав осуществляется субъектом персональных данных путём подачи Оператору заявления в порядке, установленном статьёй 14 Закона № 99-З и разделом 10 настоящей Политики, и не должна нарушать права и свободы иных лиц.

10. Порядок реализации прав и рассмотрения заявлений субъекта

Для реализации своих прав, предусмотренных статьями 10–13 Закона № 99-З, а также для отзыва согласия на обработку персональных данных субъект персональных данных подаёт Оператору заявление в порядке, установленном статьёй 14 Закона № 99-З. Заявление подаётся в письменной форме либо в виде электронного документа и направляется по адресу электронной почты support@vernu.by либо по юридическому адресу Оператора, указанному в разделе 2 настоящей Политики.

В соответствии со статьёй 14 Закона № 99-З заявление субъекта персональных данных должно содержать:

• фамилию, собственное имя, отчество (при наличии) субъекта персональных данных;
• дату рождения субъекта персональных данных;
• адрес места жительства (места пребывания);
• идентификационный номер субъекта персональных данных (при отсутствии такого номера — номер документа, удостоверяющего личность), в случае если эти данные ранее предоставлялись Оператору;
• изложение существа требования (содержания права, реализуемого субъектом);
• личную подпись субъекта персональных данных — для заявления в письменной форме либо электронную цифровую подпись субъекта персональных данных — для заявления в виде электронного документа.

Оператор вправе запросить дополнительные сведения, необходимые для подтверждения личности субъекта персональных данных и обработки заявления, в случаях и в порядке, предусмотренных законодательством.

Оператор рассматривает заявление субъекта персональных данных и предоставляет ответ в сроки, установленные Законом № 99-З, если иной срок не установлен законодательными актами, а именно:

• информация, касающаяся обработки персональных данных (статья 11 Закона № 99-З), предоставляется в течение пяти рабочих дней со дня получения заявления;
• внесение изменений в персональные данные (статья 11 Закона № 99-З), предоставление информации о предоставлении персональных данных третьим лицам (статья 12 Закона № 99-З), а также прекращение обработки персональных данных и (или) их удаление (статья 13 Закона № 99-З) осуществляются в течение пятнадцати дней со дня получения заявления.

В случаях, предусмотренных Законом № 99-З, срок рассмотрения заявления может быть продлён, о чём субъект персональных данных уведомляется в установленном порядке.

В случае несогласия с ответом Оператора либо при отсутствии ответа в установленный срок субъект персональных данных вправе обжаловать действия (бездействие) и решения Оператора (статья 15 Закона № 99-З) в Национальный центр защиты персональных данных Республики Беларусь, являющийся уполномоченным органом по защите прав субъектов персональных данных, а также в судебном порядке в соответствии с законодательством Республики Беларусь.

11. Использование файлов cookie

При использовании Сервиса применяются файлы cookie и аналогичные технологии локального хранения, необходимые для функционирования Сервиса, поддержания авторизованной сессии пользователя и обеспечения безопасности. Аналитические, рекламные и трекинговые файлы cookie, а также сторонние системы веб-аналитики Сервисом не используются.

Подробные сведения о составе, назначении и сроках хранения файлов cookie приведены в отдельной Политике в отношении обработки файлов cookie, размещённой на сайте Сервиса по адресу https://vernu.by/legal/cookies.

12. Заключительные положения и порядок изменения Политики

Настоящая Политика является общедоступной и размещается на сайте Сервиса по адресу https://vernu.by.

Оператор вправе вносить изменения в настоящую Политику в одностороннем порядке, в том числе в связи с изменением законодательства Республики Беларусь или функциональных возможностей Сервиса. Актуальная редакция Политики размещается на сайте Сервиса.

Изменение настоящей Политики направлено на информирование субъектов персональных данных об актуальных условиях обработки персональных данных и не заменяет собой получение согласия субъекта в случаях, когда обработка персональных данных основана на согласии. Если в результате изменения условий обработки требуется согласие субъекта персональных данных, такое согласие испрашивается Оператором отдельно и явно в порядке, установленном Законом № 99-З; продолжение использования Сервиса само по себе не рассматривается как предоставление либо обновление такого согласия.

Все отношения, связанные с обработкой персональных данных и не урегулированные настоящей Политикой, регулируются законодательством Республики Беларусь, в том числе Законом № 99-З.

По всем вопросам, связанным с настоящей Политикой и обработкой персональных данных, субъект персональных данных вправе обратиться к Оператору по адресу электронной почты support@vernu.by.