Политика обработки персональных данных

01Общие положения

Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе Smenka — сервисе учёта рабочего времени, доступном по адресам smenka.space, app.smenka.space и admin.smenka.space (далее — Сервис).

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и применяется ко всем персональным данным, которые обрабатываются в Сервисе.

Использование Сервиса означает согласие пользователя с настоящей Политикой. При несогласии с её условиями следует прекратить использование Сервиса.

Действующая редакция Политики постоянно доступна по адресу smenka.space/privacy.

02Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие с персональными данными: сбор, запись, систематизация, хранение, уточнение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
• Оператор — лицо, самостоятельно организующее обработку персональных данных и определяющее её цели и состав обрабатываемых данных.
• Организация-клиент — юридическое лицо или индивидуальный предприниматель, создавшие в Сервисе организацию и ведущие в ней учёт рабочего времени своих работников.
• Пользователь — физическое лицо, использующее Сервис: работник организации-клиента, её руководитель либо лицо, использующее личный учёт времени.

03Кто является оператором данных

В Сервисе разграничены две роли, и от них зависит, к кому обращаться по вопросам обработки данных.

Данные работников организации-клиента

Оператором таких данных является организация-клиент: она решает, кого из работников подключить, какие рабочие точки и графики задать, какие данные вносить. Администрация Сервиса обрабатывает эти данные по поручению организации-клиента в порядке части 3 статьи 6 Федерального закона № 152-ФЗ — только для работы Сервиса и в объёме, необходимом для оказания услуг.

Организация-клиент самостоятельно обеспечивает законное основание для обработки данных своих работников, в том числе уведомляет их об учёте рабочего времени в порядке, предусмотренном трудовым законодательством.

Данные при личном использовании и данные учётной записи

Когда физическое лицо регистрируется самостоятельно и ведёт личный учёт времени, а также в части данных самой учётной записи (адрес электронной почты, имя, пароль), оператором выступает администрация Сервиса — лицо, указанное в разделе «Реквизиты и контакты».

04Какие данные обрабатываются

Данные учётной записи

• фамилия, имя, отчество либо отображаемое имя;
• адрес электронной почты либо логин, если учётная запись создана организацией-клиентом без электронной почты;
• номер телефона, если пользователь указал его;
• пароль — в виде необратимого криптографического хеша, исходный пароль не хранится и недоступен администрации Сервиса.

Данные об учёте рабочего времени

• время начала, приостановки и завершения смены, длительность перерывов;
• рабочая точка и график, к которым отнесена смена;
• сведения о том, что смена была создана или изменена вручную руководителем, и комментарий к правке;
• должность или роль в организации, назначенные чек-листы, тесты и их результаты;
• ставка оплаты, начисления, удержания и штрафы с указанием причины.

Данные о местоположении

В момент открытия смены приложение запрашивает координаты устройства и передаёт их серверу, чтобы проверить, находится ли работник в пределах рабочей точки организации. Результатом проверки является факт попадания в зону и привязка смены к конкретной точке; сами координаты в этот момент в базе данных не сохраняются. Отслеживание перемещений в течение рабочего дня или вне смены не ведётся.

Фотографии

Если организация-клиент включила фотофиксацию в чек-листах, работник прикладывает к пунктам чек-листа фотографии. На изображение автоматически наносится штамп с датой, временем и координатами съёмки — эти сведения сохраняются в составе самого файла и доступны руководителю организации.

Технические данные

• IP-адрес, тип и версия браузера или устройства, параметры операционной системы;
• дата и время обращений к Сервису, сведения об ошибках и сбоях приложения;
• журнал действий в организации: кто и когда изменил настройки, состав участников, точки и смены.

Специальные категории персональных данных (о состоянии здоровья, религиозных и политических убеждениях, национальной принадлежности) и биометрические персональные данные Сервис не обрабатывает. Фотографии чек-листов делаются для подтверждения выполнения рабочих задач и не используются для установления личности по изображению.

05Цели и правовые основания обработки

• Предоставление доступа к Сервису и его работа — регистрация, вход, ведение смен, чек-листов, графиков, расчёт отработанного времени и оплаты. Основание: договор с пользователем или организацией-клиентом (пункт 5 части 1 статьи 6 Федерального закона № 152-ФЗ).
• Подтверждение адреса электронной почты и восстановление доступа — отправка кода подтверждения. Основание: договор, согласие пользователя.
• Учёт рабочего времени работников организации-клиента — по поручению организации-клиента. Основание: часть 3 статьи 6 Федерального закона № 152-ФЗ; для самой организации-клиента — трудовое законодательство Российской Федерации.
• Обеспечение безопасности — защита от подбора паролей, выявление злоупотреблений, расследование инцидентов. Основание: законные интересы оператора (пункт 7 части 1 статьи 6 Федерального закона № 152-ФЗ).
• Поддержка пользователей — ответы на обращения. Основание: договор, согласие пользователя.
• Улучшение работы Сервиса — анализ сбоев и обезличенной статистики использования. Основание: законные интересы оператора.

Обработка ограничивается перечисленными целями. Персональные данные не используются для принятия решений исключительно на основании автоматизированной обработки, порождающих юридические последствия для субъекта.

06Порядок и сроки обработки

Обработка ведётся с использованием средств автоматизации. Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах на территории Российской Федерации в соответствии с частью 5 статьи 18 Федерального закона № 152-ФЗ.

• Данные учётной записи хранятся, пока учётная запись существует.
• Данные о сменах, чек-листах, начислениях и штрафах хранятся, пока существует организация-клиент, — они нужны ей для расчётов с работниками и разрешения споров.
• Журнал действий и технические журналы хранятся не дольше, чем это необходимо для обеспечения безопасности и разбора инцидентов.
• Данные удаляются или обезличиваются по достижении целей обработки, при отзыве согласия либо по требованию субъекта, если у оператора нет иного законного основания для их хранения.

Резервные копии базы данных создаются регулярно и хранятся ограниченное время; удаление данных из основной базы отражается в резервных копиях по мере их ротации.

07Передача данных третьим лицам

Персональные данные не продаются и не передаются третьим лицам для их собственных целей, в том числе рекламных. Для работы Сервиса привлекаются следующие лица, обрабатывающие данные по поручению и в объёме, необходимом для оказания соответствующей услуги:

• Хостинг-провайдер (Российская Федерация) — размещение серверов приложения, базы данных и файлового хранилища, включая фотографии чек-листов и файлы базы знаний.
• Сервис отправки транзакционных писем — доставка кодов подтверждения на адрес электронной почты. Передаётся адрес электронной почты и текст письма.
• Сервис сбора сведений о сбоях приложения — технические отчёты об ошибках и обезличенная статистика использования, необходимые для устранения неисправностей.

Часть перечисленных сервисов находится за пределами Российской Федерации, поэтому передача данных им является трансграничной. Она осуществляется в минимально необходимом объёме и в порядке, предусмотренном статьёй 12 Федерального закона № 152-ФЗ.

Данные также могут быть переданы государственным органам по основаниям и в порядке, установленным законодательством Российской Федерации.

08Меры защиты данных

• обмен данными между приложением и сервером ведётся по защищённому протоколу HTTPS;
• пароли хранятся в виде необратимых криптографических хешей;
• доступ к данным организации разграничен ролями: работник видит только свои данные, руководитель — данные своей организации;
• доступ к загруженным файлам и фотографиям возможен только по временной подписанной ссылке;
• ведётся неизменяемый журнал действий с данными организации;
• применяется ограничение частоты попыток входа и временная блокировка учётной записи при подборе пароля;
• выполняется регулярное резервное копирование базы данных.

Пользователь обязан сохранять пароль в тайне и не передавать доступ к учётной записи третьим лицам. Действия, совершённые под учётной записью, считаются совершёнными её владельцем.

09Права субъекта персональных данных

Субъект персональных данных имеет право:

• получить сведения об обработке своих персональных данных, в том числе о целях, способах и сроках обработки, а также о лицах, которым они передаются;
• требовать уточнения неточных или неполных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие оператора в Роскомнадзоре или в судебном порядке.

Запрос направляется на адрес электронной почты, указанный в разделе «Реквизиты и контакты», и должен содержать сведения, позволяющие идентифицировать обратившегося и подтвердить его связь с учётной записью. Ответ предоставляется в течение тридцати дней с даты получения запроса.

Если данные обрабатываются по поручению организации-клиента, запрос об их уточнении или удалении направляется в первую очередь этой организации как оператору. Администрация Сервиса переадресует такие обращения организации-клиенту и содействует их исполнению.

Удаление учётной записи выполняется по обращению в поддержку; вместе с ней удаляются или обезличиваются связанные с ней данные, за исключением сведений, которые оператор обязан хранить по закону.

10Файлы cookie и аналитика

Сайт и приложение используют файлы cookie и аналогичные технологии локального хранения, необходимые для работы Сервиса: сохранение сессии входа, выбранной темы оформления и пользовательских настроек. Без них вход в Сервис невозможен.

Для оценки посещаемости сайта могут использоваться системы веб-аналитики, собирающие обезличенные сведения о посещениях. Пользователь может ограничить приём файлов cookie в настройках браузера, при этом отдельные функции Сервиса станут недоступны.

11Изменение Политики

Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения по адресу smenka.space/privacy, если иное не предусмотрено самой редакцией. Дата последнего изменения указана в начале документа.

12Реквизиты и контакты

Наименование

Иманов Шарапутдин Магомедмурадович

ИНН

057205560167

Адрес для обращений

privacy@smenka.space