Политика обработки персональных данных

Оператор внесён в реестр операторов, осуществляющих обработку персональных данных, регистрационный номер 23-25-031765.

За организацию обработки персональных данных отвечает сам предприниматель.

Цель 1. Ответить на заявку или вопрос с сайта, обсудить задачу, подготовить смету.

• Чьи данные: люди, которые оставили заявку или задали вопрос, в том числе представители организаций и предприниматели.
• Какие данные: имя; контакт, который вы указали (номер телефона, адрес электронной почты, имя пользователя в мессенджере); текст обращения; адрес страницы, с которой отправлена форма; дата и время отправки; отметка о согласии и версия его текста.
• Основание: ваше согласие (п. 1 ч. 1 ст. 6 152-ФЗ).
• Срок: три года с даты обращения или до отзыва согласия, что наступит раньше.

Цель 2. Заключить и исполнить договор с заказчиком — организацией или индивидуальным предпринимателем.

• Чьи данные: заказчики — индивидуальные предприниматели; представители и контактные лица заказчиков-организаций.
• Какие данные: фамилия, имя, отчество; должность; телефон, электронная почта, имя пользователя в мессенджере; реквизиты ИП (ИНН, ОГРНИП, адрес, банковские реквизиты); переписка по задаче.
• Основание: для заказчика-ИП — заключение и исполнение договора, стороной которого он является (п. 5 ч. 1 ст. 6); для представителя организации — законный интерес оператора (п. 7 ч. 1 ст. 6).
• Срок: пока действует договор и пять лет после года его исполнения — так долго хранятся документы для налогового учёта (пп. 8 п. 1 ст. 23 Налогового кодекса РФ). Переписка, которая для учёта не нужна, — три года после исполнения договора.

Цель 3. Принять отзыв о работе и, если вы разрешили, опубликовать его.

• Чьи данные: заказчики и их представители, оставившие отзыв.
• Какие данные: имя (и фамилия, если вы её указали); компания и город, если указали; оценка; текст отзыва; контакт для согласования публикации.
• Основание: согласие на обработку (п. 1 ч. 1 ст. 6); для публикации — отдельное согласие на распространение (ст. 10.1 152-ФЗ). Без него отзыв не публикуется.
• Контакт на сайте не публикуется никогда.
• Срок: если публикацию не разрешили или не подтвердили — до трёх месяцев с даты получения; опубликованный отзыв — пока действует согласие на распространение, но не дольше трёх лет с даты публикации; контакт — пока отзыв размещён на сайте.

Цель 4. Статистика посещений сайта (Яндекс Метрика) — только после вашего согласия в баннере.

• Чьи данные: посетители сайта, которые нажали «Принимаю».
• Какие данные: идентификаторы cookie Яндекс Метрики; IP-адрес; сведения о браузере, устройстве и операционной системе; адреса просмотренных страниц и источник перехода; время на странице; клики и переходы по ссылкам; события «форма отправлена» и «нажата ссылка на почту или мессенджер». Вебвизор (запись действий на экране) выключен.
• Основание: ваше согласие (п. 1 ч. 1 ст. 6), которое вы даёте кнопкой «Принимаю».
• Обработку по моему поручению ведёт ООО «Яндекс» (ч. 3 ст. 6 152-ФЗ) на условиях использования сервиса Яндекс Метрика.
• Срок: пока действует согласие. Статистические отчёты хранятся в Метрике по правилам сервиса.
• Отказаться: кнопка «Только необходимые» в баннере или «Настройки cookie» внизу любой страницы. Ещё можно поставить «Блокировщик Яндекс Метрики» — расширение для браузера от Яндекса.

Защита форм от спама. Чтобы ограничить частоту отправки, сайт сохраняет не сам IP-адрес, а его хеш с секретным ключом. Хеш нигде не публикуется, перестаёт действовать через час и удаляется не позднее чем через сутки.

Журналы сервера. При каждом обращении к сайту сервер записывает в журнал IP-адрес, дату и время запроса, адрес запрошенной страницы, адрес страницы, с которой пришёл переход, и сведения о браузере. Журналы нужны, чтобы защищать сайт от атак, автоматически блокировать адреса, с которых сайт атакуют, и разбирать сбои. Основание — мой законный интерес в защите сайта (п. 7 ч. 1 ст. 6 152-ФЗ). Журналы хранятся на сервере сайта 14 дней и удаляются автоматически.

Специальные категории персональных данных и биометрию я не обрабатываю. Данные детей целенаправленно не собираю.

Что я делаю с данными (для всех целей): сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) лицам из раздела 4, блокирование, удаление, уничтожение. Обработка смешанная, с передачей по сети Интернет.

Базы данных с персональными данными находятся в России (ч. 5 ст. 18 152-ФЗ):

• сайт, база обращений, журналы сервера и резервные копии — на виртуальном сервере ООО «Бегет» в дата-центре в Санкт-Петербурге;
• копии обращений (с текстом) — в Яндекс Почте (ООО «Яндекс») и в мессенджере MAX (ООО «МАХ»).

Данные из форм сайта за рубеж не передаются. Ссылка на мой Telegram есть на сайте; если вы сами напишете мне в Telegram, переписка пройдёт через серверы этого сервиса, часть из которых находится за пределами России. Обращения с сайта в Telegram не пересылаются.

Не продаю данные и не передаю их для рекламы. Доступ получают только:

• ООО «Бегет» (ИНН 7801451618, 195112, г. Санкт-Петербург, пл. Карла Фаберже, д. 8Б, офис 726А) — предоставляет сервер, на котором работают сайт и база обращений;
• ООО «Яндекс» (ИНН 7736207543, 119021, г. Москва, ул. Льва Толстого, д. 16) — Яндекс Почта (ящик design-site-pro@yandex.ru), через которую сайт отправляет письма и куда приходит копия обращения (с текстом), и, если вы согласились, Яндекс Метрика;
• ООО «МАХ» (ИНН 9714058267, 125167, г. Москва, Ленинградский проспект, д. 39, стр. 79) — мессенджер MAX, куда приходит копия обращения (с текстом);
• государственные органы — только по запросу, основанному на законе.

Вы можете:

• узнать, какие ваши данные у меня есть, и получить сведения об их обработке (ст. 14 152-ФЗ);
• потребовать уточнить, заблокировать или уничтожить данные, если они неполные, устарели, неточны, получены незаконно или не нужны для заявленной цели;
• отозвать согласие (ч. 2 ст. 9) — письмом на design-site-pro@yandex.ru;
• снять свой отзыв с публикации;
• обжаловать мои действия в Роскомнадзоре или в суде (ст. 17).

На запрос отвечаю в течение 10 рабочих дней с даты получения. Срок может быть продлён ещё на 5 рабочих дней — тогда я напишу и объясню причину (ч. 1 и 3 ст. 20).

После отзыва согласия прекращаю обработку и уничтожаю данные не позднее 30 дней (ч. 5 ст. 21), кроме данных, которые обязан хранить по закону.

Заявки и вопросы с сайта удаляются автоматически: раз в сутки сайт проверяет сроки и удаляет из базы обращения, отправленные больше трёх лет назад. Отзыв, на публикацию которого вы не дали разрешения, удаляется так же — через три месяца после получения.

Остальное удаляю вручную и проверяю сроки раз в месяц:

• отзыв, публикацию которого вы разрешили, но не подтвердили итоговый вид, — через три месяца после получения;
• опубликованный отзыв — через три года после публикации или раньше, если вы отозвали согласие;
• копии обращений в почтовом ящике и в чате MAX — через три года после обращения.

После отзыва согласия удаляю данные этого человека отдельно, в срок из раздела 5: из базы сайта, из почты и из MAX.

Удалённые данные ещё какое-то время остаются в резервных копиях сайта. Копии перезаписываются по кругу и хранятся не дольше 14 дней. Данные из копий используются только для восстановления сайта после сбоя; если после восстановления вернулись уже удалённые данные, удаляю их снова.

Сайт работает по защищённому протоколу HTTPS. Доступ к серверу, админке сайта и почте есть только у меня. Других исполнителей у меня нет. Данные получают только сервисы из раздела 4 — в объёме, нужном для их работы.

Если произойдёт утечка, уведомлю Роскомнадзор в сроки ч. 3.1 ст. 21 152-ФЗ: в течение 24 часов о самом инциденте и в течение 72 часов о результатах расследования.

Новая редакция публикуется на этой странице с новой датой. Если меняются цели или состав данных, сайт заново попросит согласие.