Политика в области обработки и обеспечения безопасности персональных данных при использовании мобильного приложения BotMan Mobile

1. Общие положения

1.1. Настоящий документ (далее — Политика) определяет Политику в области обработки и обеспечения безопасности персональных данных Общества с ограниченной ответственностью «БОТТЕХ» (ООО «БОТТЕХ», ОГРН 1255200019909, ИНН 5261139239), в лице генерального директора Чернышева Романа Сергеевича (далее — Оператор) при использовании мобильного приложения BotMan Mobile (далее — Приложение), распространяемого через Apple App Store, Google Play и RuStore.

1.2. Настоящая Политика разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных). Политика разработана с учетом требований Конституции Российской Федерации, законодательных и иных нормативных правовых актов Российской Федерации в области персональных данных, а также требований операторов магазинов приложений Apple, Google и RuStore.

1.3. Действие настоящей Политики распространяется на все операции, совершаемые Оператором с персональными данными Пользователей Приложения с использованием средств автоматизации.

1.4. Оператор обрабатывает персональные данные Пользователя только в случае их заполнения и/или отправки Субъектом персональных данных самостоятельно через интерфейс Приложения, либо направленные Оператору посредством электронной почты, указанной в разделе 14 настоящей Политики. Устанавливая и используя Приложение, Пользователь выражает свое согласие с данной Политикой.

1.5. Субъект персональных данных самостоятельно принимает решение о предоставлении его персональных данных и дает согласие свободно, своей волей и в своем интересе.

1.6. Настоящая Политика подлежит актуализации в случае изменения законодательства Российской Федерации о персональных данных.

2. Основные понятия, используемые в Политике

2.1. В целях настоящей Политики нижеприведенные термины используются в следующем значении:

Пользователь услуг Оператора — субъект персональных данных, использующий Приложение (далее также Пользователь).

Персональные данные — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных).

Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Push-уведомление — способ доставки сообщений на мобильное устройство Пользователя через инфраструктуру платформы операционной системы (Apple Push Notification service, Google Firebase Cloud Messaging, RuStore Push).

Push-токен — технический идентификатор, присваиваемый экземпляру Приложения операционной системой устройства и используемый исключительно для маршрутизации push-уведомлений.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных Оператором осуществляется с учетом необходимости обеспечения защиты прав и свобод субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов:

• обработка персональных данных осуществляется на законной и справедливой основе;
• обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей;
• не допускается обработка персональных данных, несовместимая с целями сбора персональных данных;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только персональные данные, которые отвечают целям их обработки;
• содержание и объем обрабатываемых персональных данных соответствует заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки;
• при обработке персональных данных обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных;
• хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем того требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных;
• обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4. Цели и правила обработки персональных данных

4.1. Цель обработки персональных данных, категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы и сроки обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований.

4.2. Обработка персональных данных будет ограничиваться достижением этих конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целью обработки.

5. Объём и категории обрабатываемых персональных данных, категории субъектов персональных данных

5.1. Оператор может обрабатывать персональные данные следующих субъектов персональных данных:

• Пользователи Приложения (физические лица — сотрудники компаний, являющихся клиентами Сервиса BotMan);
• клиенты и контрагенты Оператора.

5.2. К персональным данным, обрабатываемым Оператором в рамках Приложения, относятся:

• фамилия, имя, отчество Пользователя;
• электронная почта;
• номер телефона (при добавлении Пользователем);
• изображение профиля (аватар);
• идентификатор агентского профиля;
• токены аутентификации (access token, refresh token) в формате JWT, хранящиеся в защищённом хранилище операционной системы устройства;
• push-токен устройства (APNs, FCM или RuStore Push);
• содержимое текстовых сообщений, отправляемых Пользователем в рамках обращений клиентов;
• медиавложения (фотографии, видеозаписи, аудиофайлы, документы, голосовые сообщения), прикрепляемые Пользователем;
• метаданные сообщений (время отправки, статус, идентификаторы);
• технические данные устройства: модель, производитель, версия операционной системы, язык интерфейса, часовой пояс;
• версия установленного Приложения;
• состояние сетевого подключения (тип сети);
• сведения об ошибках и сбоях Приложения (stack trace);
• иная информация, добровольно предоставленная Пользователем (приведённый перечень может сокращаться или расширяться в зависимости от конкретного случая и целей обработки).

5.3. Приложение не собирает и не обрабатывает: геолокацию Пользователя, данные адресной книги устройства, календарь, финансовую информацию, данные о состоянии здоровья, рекламные идентификаторы (IDFA, GAID), биометрические образцы (Touch ID, Face ID, отпечаток пальца — обрабатываются исключительно средствами операционной системы устройства и не передаются на серверы Оператора).

5.4. Оператор обеспечивает соответствие содержания и объема обрабатываемых персональных данных заявленным целям обработки и, в случае необходимости, принимает меры по устранению их избыточности по отношению к заявленным целям обработки.

6. Порядок и условия обработки персональных данных

6.1. Обработка персональных данных Оператором осуществляется следующими способами: автоматизированная обработка персональных данных с передачей полученной информации по сети интернет и по сети юридического лица.

6.2. Перечень действий, совершаемых Оператором с персональными данными: сбор, систематизация, накопление, хранение, уточнение (обновление, изменение), использование, распространение (в том числе передача), обезличивание, блокирование, уничтожение, а также осуществление любых иных действий в соответствии с действующим законодательством Российской Федерации.

6.3. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает Согласие свободно, своей волей и в своем интересе.

6.4. Бездействие Субъекта персональных данных не может пониматься как согласие. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным.

6.5. Согласие с условиями Политики может быть выражено Субъектом персональных данных через совершение любого из следующих действий:

6.5.1. установка Приложения на устройство и выполнение входа в учётную запись;

6.5.2. предоставление операционной системе устройства разрешений, запрашиваемых Приложением (камера, микрофон, уведомления и иные), при условии, что Субъекту персональных данных предоставлена возможность ознакомиться с полным текстом настоящей Политики.

6.6. Обработка биометрических персональных данных Оператором не осуществляется. Биометрическая аутентификация (Touch ID, Face ID, отпечаток пальца), при её использовании Пользователем, обрабатывается исключительно средствами операционной системы устройства и не передаётся на серверы Оператора.

6.7. Трансграничная передача персональных данных осуществляется Оператором в ограниченном объёме и исключительно для обеспечения работы сервисов доставки push-уведомлений на устройства Пользователей:

• Apple Push Notification service (APNs) — для устройств на базе iOS и iPadOS. Передаётся push-токен устройства и содержимое уведомления.
• Google Firebase Cloud Messaging (FCM) — для устройств на базе Android (Google Play версия Приложения). Передаётся push-токен устройства и содержимое уведомления.

Для устройств на базе Android, использующих RuStore-версию Приложения, доставка push-уведомлений осуществляется через инфраструктуру RuStore Push, размещённую на территории Российской Федерации; трансграничная передача при этом не осуществляется. Иная трансграничная передача персональных данных Оператором не осуществляется.

6.8. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.

6.9. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных, истечение срока действия Согласия или отзыв Согласия субъектом персональных данных, а также выявление неправомерной обработки персональных данных, либо прекращение деятельности Оператора.

6.10. Срок обработки персональных данных — 10 лет. Пользователь может в любой момент отозвать свое согласие на обработку персональных данных путём удаления учётной записи через интерфейс Приложения либо направив Оператору уведомление посредством электронной почты на электронный адрес Оператора, указанный в разделе 14 настоящей Политики, с пометкой «Отзыв согласия на обработку персональных данных».

6.11. В случае отзыва субъектом персональных данных согласия на обработку персональных данных или истечения срока действия согласия, направления субъектом персональных данных требования о прекращении обработки персональных данных, Оператор вправе заблокировать данные и обрабатывать их в архивном виде в течение 7 (семи) лет.

6.12. Порядок уничтожения персональных данных при достижении цели их обработки или при наступлении иных законных оснований: лицо, ответственное за обработку персональных данных, производит стирание данных методом перезаписи (замена всех единиц хранения информации на «0») с составлением акта об уничтожении персональных данных.

7. Разрешения мобильного устройства, запрашиваемые Приложением

7.1. Для выполнения заявленного функционала Приложение запрашивает у операционной системы устройства следующие разрешения. Каждое из них запрашивается только в момент первого использования соответствующей функции; Пользователь вправе отказать в доступе и изменить разрешения в настройках устройства в любой момент.

7.2. Приложение не запрашивает разрешения, не указанные в пункте 7.1 настоящей Политики.

8. Основные права и обязанности

8.1. Оператор имеет право:

8.1.1. получать от субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;

8.1.2. требовать от субъекта персональных данных своевременного уточнения предоставленных персональных данных.

8.2. Оператор обязан:

8.2.1. обрабатывать персональные данные в порядке, установленном действующим законодательством Российской Федерации;

8.2.2. рассматривать обращения субъекта персональных данных (его законного представителя) по вопросам обработки персональных данных и давать мотивированные ответы;

8.2.3. предоставлять субъекту персональных данных (его законному представителю) возможность безвозмездного доступа к его персональным данным;

8.2.4. принимать меры по уточнению, уничтожению персональных данных субъекта персональных данных в связи с его (его законного представителя) обращением с законными и обоснованными требованиями;

8.2.5. организовывать защиту персональных данных в соответствии с требованиями законодательства Российской Федерации.

8.3. Субъекты персональных данных имеют право:

8.3.1. на полную информацию об их персональных данных, обрабатываемых Оператором;

8.3.2. на доступ к их персональным данным, включая право на получение копии любой записи, содержащей их персональные данные, за исключением случаев, предусмотренных федеральным законом;

8.3.3. на уточнение их персональных данных, их блокирование или уничтожение в случаях, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

8.3.4. на отзыв согласия на обработку персональных данных;

8.3.5. на принятие предусмотренных законом мер по защите своих прав;

8.3.6. на осуществление иных прав, предусмотренных законодательством Российской Федерации.

8.4. Субъекты персональных данных обязаны:

8.4.1. предоставлять Оператору только достоверные данные о себе;

8.4.2. предоставлять документы, содержащие персональные данные в объеме, необходимом для цели обработки;

8.4.3. сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.

8.5. Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством Российской Федерации.

9. Меры по защите персональных данных

9.1. Оператор принимает все необходимые меры для защиты персональных данных от несанкционированного, случайного или незаконного уничтожения, потери, изменения, недобросовестного использования, раскрытия или доступа, а также иных незаконных форм обработки.

9.2. По умолчанию персональная информация обрабатывается автоматическим оборудованием без доступа к ней кого-либо. В случае если такой доступ понадобится, то Оператор предоставляет доступ к персональным данным только тем лицам, которым эта информация необходима для обеспечения Цели обработки.

9.3. Для защиты и обеспечения конфиденциальности данных такие лица должны обязаться соблюдать внутренние правовые правила и процедуры, технические и организационные меры безопасности в отношении обработки персональной информации:

• назначение Оператором ответственного за организацию обработки персональных данных;
• издание Оператором документов, определяющих политику Оператора в отношении обработки персональных данных, локальных актов по вопросам обработки персональных данных;
• применение правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
• определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных;
• оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• учет машинных носителей персональных данных;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер в том числе по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных;
• осуществление внутреннего контроля и (или) аудита соответствия обработки персональных данных Федеральному закону от 27.07.2006 № 152-ФЗ «О персональных данных»;
• оценка вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов персональных данных;
• ознакомление представителей Оператора, непосредственно осуществляющих обработку персональных данных, с положениями законодательства РФ о персональных данных.

Шифровальные (криптографические) средства не используются Оператором самостоятельно; для передачи данных используются стандартные криптографические протоколы транспортного уровня TLS (HTTPS и WSS).

9.4. Технические меры защиты, применяемые Оператором в Приложении:

• токены аутентификации хранятся на устройстве Пользователя в защищённом хранилище операционной системы: iOS Keychain для устройств Apple, EncryptedSharedPreferences (Android Keystore) для устройств Android;
• все данные передаются между Приложением и серверами Оператора исключительно по защищённым каналам: протокол HTTPS для REST-запросов и WSS (WebSocket over TLS) для real-time-соединения;
• серверная инфраструктура Оператора (за исключением сервисов доставки push-уведомлений) размещена на территории Российской Федерации;
• доступ к данным внутри инфраструктуры Оператора ограничен сотрудниками, которым он необходим для исполнения служебных обязанностей, и логируется.

9.5. Раскрытие персональных данных может быть произведено лишь в соответствии с действующим законодательством Российской Федерации по требованию суда, правоохранительных органов, и в иных предусмотренных законодательством Российской Федерации случаях.

9.6. Оператор не проверяет достоверность информации, предоставляемой Субъектом персональных данных, и исходит из того, что Субъект персональных данных в порядке принципа добросовестности и требований ст. 19 Гражданского кодекса Российской Федерации предоставляет достоверную и достаточную информацию, заботится о своевременности внесения изменений в ранее предоставленную информацию, актуализирует информацию.

9.7. Оператор не несет ответственности за обработку персональных данных третьих лиц, которые получатель услуг Оператора сообщил как свои собственные. Риск привлечения к ответственности в этом случае несет получатель услуг Оператора, предоставивший недостоверные данные.

9.8. Оператор не осуществляет намеренно обработку персональных данных несовершеннолетних лиц. Приложение предназначено для использования лицами, достигшими возраста 18 (восемнадцати) лет. Ответственность за действия несовершеннолетних лежит на их законных представителях. Если Оператору станет известно о том, что он получил персональную информацию о несовершеннолетнем лице без согласия законных представителей, то такая информация будет удалена в возможно короткие сроки.

10. Проведение оценки вреда, который может быть причинен субъекту персональных данных

10.1. Оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», осуществляется ответственным за организацию обработки персональных данных либо комиссией, образуемой Оператором.

10.2. Оценка вреда осуществляется на основании Приказа Роскомнадзора от 27.10.2022 № 178 «Об утверждении Требований к оценке вреда, который может быть причинен субъектам персональных данных в случае нарушения Федерального закона „О персональных данных"».

10.3. Оператор для целей оценки вреда определяет одну из степеней вреда, который может быть причинен субъекту персональных данных в случае нарушения Закона о персональных данных:

10.3.1. Высокую в случаях: обработки биометрических персональных данных, используемых для установления личности; обработки специальных категорий персональных данных; обработки персональных данных несовершеннолетних; поручения иностранному лицу осуществлять обработку персональных данных граждан Российской Федерации; сбора персональных данных с использованием баз данных, находящихся за пределами Российской Федерации.

10.3.2. Среднюю в случаях: распространения персональных данных неограниченному кругу лиц; обработки персональных данных в дополнительных целях, отличных от первоначальной цели сбора; продвижения товаров и услуг с использованием баз персональных данных, владельцем которых является иной оператор.

10.3.3. Низкую в случаях: ведения общедоступных источников персональных данных; назначения в качестве ответственного за обработку персональных данных лица, не являющегося штатным сотрудником оператора.

10.4. Результаты оценки вреда оформляются актом оценки вреда, содержащим наименование Оператора, дату издания акта, дату проведения оценки вреда, сведения о лицах, проводивших оценку, и степень вреда, которая может быть причинена субъекту персональных данных.

10.5. В случае если по итогам проведённой оценки вреда установлено, что в рамках деятельности по обработке персональных данных субъекту персональных данных могут быть причинены различные степени вреда, подлежит применению более высокая степень вреда.

11. Передача персональных данных третьим лицам и распространение персональных данных

11.1. Оператор вправе осуществить передачу (способом доступа и предоставления) персональных данных следующим третьим лицам:

• в отношении которых произведена уступка (перевод) прав или обязанностей, либо новация по соответствующему соглашению (например, при правопреемстве, при продаже или ином отчуждении бизнеса в целом или части бизнеса);
• любому регулирующему органу, правоохранительным органам, центральным или местным органам власти, другим официальным или государственным органам или судам, которым Оператор обязан по запросу предоставлять информацию в соответствии с применимым законодательством;
• лицам, осуществляющим обеспечение правовой защиты Оператора или третьих лиц при нарушении их прав либо угрозе нарушения их прав, включая нарушение законов или регулирующих документов;
• в случае если Субъект персональных данных сам выразил согласие на передачу персональных данных третьему лицу, либо передача персональных данных требуется для предоставления прямо запрошенной Субъектом персональных данных функции Приложения.

11.2. Ограниченная передача данных инфраструктурным поставщикам услуг осуществляется в следующих случаях:

• Apple Push Notification service (APNs) — для доставки push-уведомлений Пользователям, использующим устройства Apple. Передаётся push-токен устройства и содержимое уведомления.
• Google Firebase Cloud Messaging (FCM) — для доставки push-уведомлений Пользователям, использующим версию Приложения, распространяемую через Google Play. Передаётся push-токен устройства и содержимое уведомления.
• RuStore Push — для доставки push-уведомлений Пользователям, использующим версию Приложения, распространяемую через RuStore. Передаётся push-токен устройства и содержимое уведомления. Передача осуществляется на территории Российской Федерации.

11.3. Сообщения, отправляемые через Приложение в ответ на обращения клиентов, передаются в соответствующие каналы-источники обращения (ВКонтакте, Telegram, MAX, Avito, WhatsApp, веб-чат и другие), подключённые компанией-работодателем Пользователя. Обработка данных такими каналами регулируется их собственными политиками конфиденциальности.

11.4. Распространение персональных данных Оператором (способом распространения неограниченному кругу лиц) в рамках использования Приложения не осуществляется.

11.5. Для реализации всех прав субъекта персональных данных, связанных с передачей (доступом, предоставлением, распространением) персональных данных, Субъект персональных данных может воспользоваться соответствующими настройками и функциями Приложения, а если настройки или функции Приложения недостаточны по мнению субъекта персональных данных — путём направления письменного обращения на адрес электронной почты Оператора, указанный в настоящей Политике.

12. Порядок рассмотрения споров

12.1. Все споры и разногласия, которые могут возникнуть между Сторонами по вопросам, не нашедшим своего разрешения в тексте Политики, должны разрешаться путем переговоров.

12.2. Стороны обязаны соблюдать претензионный порядок разрешения споров. До обращения в суд с иском по спорам, возникающим из отношений между Пользователем и Оператором, предъявляется претензия (письменное предложение о добровольном урегулировании спора). Срок рассмотрения претензии составляет 30 (тридцать) календарных дней с момента получения претензии, если иной порядок досудебного урегулирования не установлен действующим законодательством.

12.3. При не урегулировании в процессе переговоров спорных вопросов, споры, вытекающие из Договора, разрешаются в суде общей юрисдикции по месту нахождения Исполнителя. К Политике конфиденциальности и отношениям между Пользователем и Оператором применяется действующее законодательство Российской Федерации.

13. Заключительные положения

13.1. Места хранения персональных данных на материальных носителях, а также лица, которые осуществляют обработку персональных данных на материальных носителях, отсутствуют, так как обработка персональных данных осуществляется Оператором исключительно при использовании средств автоматизации.

13.2. Соблюдение требований по обеспечению раздельного хранения персональных данных (материальных носителей), обработка которых осуществляется в различных целях без использования средств автоматизации — не требуется, так как обработка персональных данных осуществляется Оператором исключительно при использовании средств автоматизации.

13.3. Оператор имеет право вносить изменения в настоящую Политику. При внесении изменений в актуальной редакции указывается дата последнего обновления. Новая редакция Политики вступает в силу с момента ее размещения на Сайте по адресу https://botman.pro/privacy-app.html, если иное не предусмотрено новой редакцией Политики. Действующая редакция постоянно доступна на Сайте.

14. Реквизиты Оператора