Политика обработки персональных данных

1.1.Оператором персональных данных является Общество с ограниченной ответственностью «Клиент Онлайн» (сервис «Сальдо»), ИНН 7707752495, адрес: 107150, г. Москва, Погонный проезд, д. 33, кв. 12 (далее — «Оператор»). «Сальдо» — коммерческое обозначение (бренд) сервиса; оператором персональных данных выступает юридическое лицо — Оператор.

1.2.Целью Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных (далее — «ПДн»), в том числе прав на неприкосновенность частной жизни, личную и семейную тайну, а также соблюдение требований применимого законодательства.

1.3.Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и Федеральным законом от 21.07.2014 № 242-ФЗ (локализация баз данных) и размещается в свободном доступе на Сайте по адресу https://saldio.ru/legal/privacy.

1.4.Основные термины используются в значениях, установленных 152-ФЗ. Субъект ПДн — Партнёр (пользователь Сервиса), представитель Партнёра, Клиент (плательщик по счёту Партнёра), а также иное физическое лицо, чьи данные обрабатываются Оператором.

1.5.Платёжный партнёр — лицензированная кредитная организация и (или) поставщик платёжных услуг, обеспечивающий приём безналичной оплаты и перевод денежных средств. Денежные средства Клиентов поступают на расчётный счёт Партнёра; Оператор денежные средства Клиентов не принимает, не аккумулирует и не хранит и в расчётах между Клиентом и Партнёром не участвует.

2.1.Оператор обрабатывает ПДн на следующих правовых основаниях:

• согласие субъекта ПДн на обработку его персональных данных (п. 1 ч. 1 ст. 6, ст. 9 152-ФЗ);
• необходимость исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект ПДн, а равно заключения договора по инициативе субъекта (п. 5 ч. 1 ст. 6 152-ФЗ) — акцепт Оферты, регистрация и использование Сервиса;
• необходимость исполнения возложенных на Оператора законодательством обязанностей (п. 2 ч. 1 ст. 6 152-ФЗ), в том числе ведения бухгалтерского и налогового учёта, хранения документов и предоставления ответов на законные запросы уполномоченных органов;
• достижение прав и законных интересов Оператора либо третьих лиц при условии, что при этом не нарушаются права и свободы субъекта ПДн (п. 7 ч. 1 ст. 6 152-ФЗ), — антифрод-контроль, проверка сведений о Партнёре и его представителях, обеспечение безопасности и работоспособности Сервиса, защита прав Оператора в спорах.

2.2.Идентификацию Партнёра (заявителя), его представителя, а также установление бенефициарных владельцев в целях Федерального закона от 07.08.2001 № 115-ФЗ при подключении приёма оплаты осуществляет Платёжный партнёр. Оператор в рамках онбординга собирает сведения, необходимые для такой идентификации, передаёт их Платёжному партнёру и проверяет заявителя по стоп-листам (перечням, формируемым в соответствии с законодательством о противодействии легализации (отмыванию) доходов). TODO(юрист): подтвердить распределение ролей по 115-ФЗ (кто является субъектом идентификации по договору с Платёжным партнёром) и объём собираемых Оператором идентификационных сведений.

2.3.Согласие на обработку ПДн даётся субъектом при регистрации или подаче анкеты в форме, позволяющей подтвердить факт его получения; согласие является конкретным, информированным и осознанным и не проставляется заранее.

3.1.Оператор обрабатывает ПДн в целях:

• заключения и исполнения договора о предоставлении доступа к Сервису;
• регистрации и ведения Личного кабинета Партнёра, аутентификации пользователей и разграничения доступа;
• проверки достоверности сведений о Партнёре и его представителях, антифрод-контроля и проверки по стоп-листам, а также передачи сведений Платёжному партнёру для идентификации при подключении приёма оплаты;
• организации технического подключения Партнёра к приёму безналичной оплаты через Платёжного партнёра, ведения учёта выставленных счетов и поступлений и расчёта вознаграждения Оператора (без приёма Оператором денежных средств Клиентов);
• обеспечения работы, безопасности и стабильности Сервиса и предотвращения злоупотреблений, включая обработку технических данных (сведений журналов, IP-адреса, идентификаторов сессий и файлов cookie);
• обработки обращений, претензий и разрешения споров;
• исполнения обязанностей, возложенных на Оператора законодательством, в том числе ведения бухгалтерского и налогового учёта, хранения документов и предоставления сведений уполномоченным органам по их законным запросам;
• информирования Партнёра об изменениях Сервиса и исполнении договора;
• направления рекламных и информационных сообщений — только при наличии отдельного добровольного согласия (ст. 18 Федерального закона «О рекламе»).

4.1.Партнёры и их представители: фамилия, имя, отчество; ИНН; контактные данные (телефон, адрес электронной почты); должность и полномочия представителя; сведения об организации или индивидуальном предпринимателе; банковские реквизиты (расчётный счёт) — для настройки получения оплаты и сверки поступлений.

4.2.Для идентификации при подключении приёма оплаты обрабатываются данные документов, удостоверяющих личность (в том числе паспортные данные), и иные сведения, необходимые Оператору и (или) Платёжному партнёру. Такие данные относятся к чувствительным и подлежат усиленной защите (шифрование, ограниченный доступ).

4.3.Клиенты Партнёров: сведения, необходимые для выставления и подтверждения оплаты счёта (в объёме, передаваемом Партнёром или формируемом при оплате). Данные банковских карт Клиентов Оператором не принимаются и не хранятся — их обработка осуществляется на стороне Платёжного партнёра в соответствии с PCI DSS.

4.4.Технические данные, обрабатываемые автоматически при использовании Сервиса: IP-адрес, сведения об устройстве и программном обеспечении (тип браузера, операционная система), идентификаторы сессий, файлы cookie и аналогичные технологии, а также данные журналов (в том числе дата, время и параметры действий в Личном кабинете). Такие данные обрабатываются для обеспечения работы и безопасности Сервиса, аутентификации, а также для фиксации факта и параметров получения согласий.

4.5.Оператор не осуществляет обработку специальных категорий персональных данных (ст. 10 152-ФЗ) и биометрических персональных данных (ст. 11 152-ФЗ), если иное не предусмотрено законом. Обработка изображения субъекта на копии документа, удостоверяющего личность, осуществляется в целях идентификации и не направлена на установление личности субъекта по его биометрическим данным. Сервис предназначен для использования в предпринимательской и профессиональной деятельности и не рассчитан на лиц младше 18 лет.

5.1.Обработка ПДн осуществляется с использованием средств автоматизации и без таковых и включает сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение.

5.2.Оператор вправе передавать ПДн следующим категориям третьих лиц в объёме, необходимом для достижения целей обработки:

• Платёжным партнёрам (кредитным организациям, операторам по переводу денежных средств, поставщикам платёжных услуг) — для идентификации Партнёра и организации приёма оплаты;
• провайдерам антифрод-проверок и сервисам проверки контрагентов — для оценки рисков и соблюдения требований о ПОД/ФТ;
• лицам, обеспечивающим функционирование инфраструктуры Сервиса (хостинг, хранение данных, доставка уведомлений), — на условиях конфиденциальности и в пределах поручения;
• уполномоченным государственным органам — в случаях и порядке, установленных законодательством.

5.3.Обработка персональных данных контрагентов Партнёра (в том числе должников), содержащихся в документах, которые Партнёр формирует и направляет средствами Сервиса (счета, акты, напоминания об оплате), осуществляется Оператором по поручению Партнёра (ч. 3 ст. 6 152-ФЗ) исключительно в целях формирования и направления таких документов. Оператором указанных данных является Партнёр; Партнёр гарантирует наличие правовых оснований для их обработки и передачи Оператору.

5.4.Трансграничная передача ПДн по умолчанию не осуществляется. При необходимости такой передачи Оператор обеспечивает соблюдение требований ст. 12 152-ФЗ, в том числе направление уведомления в уполномоченный орган.

5.5.Решения, порождающие юридические последствия в отношении субъекта ПДн или иным образом затрагивающие его права (в том числе решение о подключении Партнёра и о приёме оплаты), не принимаются исключительно на основании автоматизированной обработки персональных данных: проверка по стоп-листам и антифрод-оценка используются как вспомогательный инструмент, а окончательное решение принимается с участием уполномоченных работников Оператора и (или) Платёжного партнёра (ст. 16 152-ФЗ).

6.1.Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение ПДн граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ, 242-ФЗ).

6.2.Сроки хранения ПДн определяются целями обработки и не превышают срока, необходимого для их достижения, если иной срок не установлен законом или договором. Сведения, собранные при регистрации, идентификации и онбординге, хранятся в течение срока действия Договора, а после его прекращения — в течение сроков, установленных законодательством (в том числе для целей бухгалтерского и налогового учёта и разрешения возможных споров). По достижении целей обработки либо истечении сроков хранения ПДн подлежат уничтожению или обезличиванию. TODO(юрист): выверить срок хранения идентификационных сведений, собранных в целях 115-ФЗ (в том числе применимость требования о хранении не менее пяти лет после прекращения отношений), с учётом того, кто является субъектом идентификации по договору с Платёжным партнёром.

6.3.Документы, содержащие ПДн (в том числе загруженные при онбординге), хранятся в защищённом хранилище с ограниченным доступом; их удаление возможно только в установленном порядке с сохранением требований к срокам хранения.

7.1.Оператор принимает правовые, организационные и технические меры защиты ПДн от неправомерного доступа, уничтожения, изменения, копирования и распространения, в том числе:

• шифрование чувствительных данных (в том числе паспортных);
• разграничение доступа по ролям и принцип минимальных привилегий;
• хранение документов в приватном хранилище с доступом по защищённым ссылкам ограниченного действия;
• ведение журналов действий (аудит-лог) и контроль доступа;
• организационные меры: назначение ответственных, инструктаж, режим конфиденциальности.

8.1.Субъект ПДн имеет право:

• получать информацию об обработке своих ПДн;
• требовать уточнения, блокирования или уничтожения ПДн, если они неполны, устарели, неточны, получены неправомерно или не являются необходимыми;
• отозвать согласие на обработку ПДн;
• обжаловать действия Оператора в уполномоченный орган по защите прав субъектов ПДн (Роскомнадзор) или в суд.

8.2.Отзыв согласия на обработку ПДн, необходимых для исполнения договора или требований закона, может повлечь невозможность дальнейшего оказания услуг, в том числе подключения приёма оплаты.

8.3.Отзыв согласия и иные обращения субъекта ПДн направляются Оператору в порядке, предусмотренном разделом 9 настоящей Политики. Отзыв согласия не прекращает обработку ПДн, осуществляемую Оператором на иных законных основаниях, предусмотренных разделом 2 настоящей Политики (в том числе для исполнения договора, требований закона и защиты прав Оператора).

9.1.Запросы и обращения по вопросам обработки ПДн направляются Оператору в письменной форме по юридическому адресу Оператора, указанному в реквизитах. Оператор рассматривает обращение и предоставляет ответ в сроки, установленные 152-ФЗ.

9.2.Для рассмотрения обращения Оператор вправе запросить сведения, подтверждающие личность обратившегося субъекта ПДн или его полномочия.

10.1.Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция размещается на Сайте по адресу https://saldio.ru/legal/privacy и вступает в силу с момента опубликования, если иной срок не указан.