Политика конфиденциальности

1. Введение

Настоящая Политика определяет порядок обработки и защиты персональных данных при использовании сервиса 2Пасс (далее — «Сервис») в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Политика является информационным документом: продолжение использования Сервиса подтверждает ознакомление с ней, но само по себе не заменяет отдельное согласие, когда оно требуется законом.

2. Оператор персональных данных

Оператором персональных данных владельцев аккаунтов и плательщиков является ИП Дорофеев Дмитрий Анатольевич (ИНН 505441180494, ОГРНИП 318505300135589). При обработке данных держателей пассов по поручению организации — владельца аккаунта такая организация определяет цели и состав данных, а 2Пасс действует как лицо, осуществляющее обработку по поручению оператора.

• Контактный email: legal@2pass.ru

3. Собираемая информация

Мы собираем персональные данные следующих категорий субъектов:

• Данные владельцев аккаунтов (пользователей Сервиса): адрес электронной почты, название организации, роль в системе
• Данные держателей пассов: информация, указанная в пассе владельцем аккаунта (имя, контактные данные и иные поля по усмотрению владельца)
• Данные сканирований: дата и время сканирования, результат проверки, информация об операторе
• Платёжные данные: ФИО плательщика, email, тариф, сумма, статус платежа и маскированные реквизиты карты; полные реквизиты карты Сервис не получает
• Технические данные: IP-адрес, тип браузера и устройства, user-agent, данные журналов доступа, внутренний идентификатор аккаунта, события регистрации и входа и сведения о предоставленных согласиях

4. Правовые основания обработки

Обработка персональных данных осуществляется на следующих правовых основаниях в зависимости от категории субъекта и цели обработки:

• Для владельцев аккаунтов: исполнение договора на оказание услуг (п. 5 ч. 1 ст. 6 152-ФЗ)
• Для держателей пассов: поручение организации — владельца аккаунта, которая обязана самостоятельно определить и документально подтвердить применимое правовое основание (ч. 3 ст. 6 152-ФЗ)
• Для обработки данных плательщика, не охватываемой исполнением договора или обязанностью по закону: отдельное согласие субъекта (ст. 9 152-ФЗ)
• Для обеспечения безопасности и улучшения качества Сервиса: законные интересы оператора (п. 7 ч. 1 ст. 6 152-ФЗ)
• Для выполнения требований законодательства: обязанность, предусмотренная законом (п. 2 ч. 1 ст. 6 152-ФЗ)

5. Цели обработки

Персональные данные обрабатываются в следующих целях:

• Предоставление доступа к Сервису и его функциональным возможностям
• Идентификация пользователя и обеспечение безопасности аккаунта
• Обработка платежей и ведение расчётов
• Направление уведомлений, связанных с использованием Сервиса
• Техническая поддержка и обработка обращений пользователей
• Подсчёт регистраций и успешных входов для контроля работы и развития Сервиса
• Анализ использования Сервиса и улучшение его качества
• Выполнение требований законодательства Российской Федерации

6. Хранение и защита данных

Данные пользователей Сервиса хранятся в дата-центрах Москвы и Санкт-Петербурга. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации. Для защиты данных применяются следующие меры:

• Шифрование данных при передаче (TLS/SSL)
• Ограничение доступа к персональным данным авторизованным сотрудникам
• Регулярное резервное копирование данных
• Мониторинг и аудит систем безопасности
• Защита от несанкционированного доступа и вредоносного программного обеспечения

7. Сроки хранения

Персональные данные хранятся не дольше, чем этого требуют заявленные цели, договор и законодательство. Конкретный срок зависит от категории данных:

• Данные аккаунта: в течение срока действия договора; после прекращения — до выполнения обязательств, рассмотрения требований и истечения обязательных сроков хранения
• Данные держателей пассов и сканирований: в течение срока, установленного организацией — владельцем аккаунта, и удаляются по её документированному поручению либо при прекращении целей обработки
• Документы о подписке и платежах: в течение сроков, необходимых для подтверждения расчётов, рассмотрения споров и исполнения требований законодательства
• Резервные копии: удалённые данные могут сохраняться в изолированных резервных копиях до 90 дней без использования для иных целей

8. Передача данных третьим лицам

Мы не продаём персональные данные. Доступ предоставляется только в объёме, необходимом для соответствующей цели, следующим категориям получателей:

• Исполнение требований законодательства и запросов уполномоченных государственных органов
• АО «ТБанк» (ИНН 7710140679, ОГРН 1027739642281): проведение платежей, рекуррентные списания, возвраты и рассмотрение споров
• Провайдер электронной почты: доставка кодов входа, приглашений и сервисных уведомлений; передаются адрес получателя и содержание сообщения
• Провайдеры инфраструктуры и объектного хранилища: размещение приложения, баз данных, резервных копий и загружаемых файлов в соответствии с требованиями локализации
• Яндекс.Метрика: статистика посещения публичных страниц только после разрешения аналитических cookie; страницы входа, кабинета, оплаты и пропусков не анализируются
• Провайдер серверной аналитики: подсчёт регистраций, успешных входов и отправленных onboarding-писем; передаются только необратимый SHA-256-хеш внутреннего идентификатора пользователя, тип события, способ аутентификации и экземпляр Сервиса, без email, исходного идентификатора, данных пассов, IP-адреса и полного URL
• Сервисы Apple Wallet и Google Wallet: только по запросу пользователя при формировании или добавлении электронного пасса
• Адресаты webhook, которых самостоятельно настраивает организация — владелец аккаунта; такая организация отвечает за законность выбранного адресата и передачи

9. Файлы cookie

Сервис использует необходимые и аналитические cookie. Отказ от аналитики не ограничивает основные функции:

• Необходимые cookie: аутентификация, безопасность, сохранение выбора темы и настроек конфиденциальности
• Аналитические cookie Яндекс.Метрики: загружаются только после отдельного разрешения пользователя
• Аналитика не запускается на страницах входа, личного кабинета, оплаты, API и публичных пропусков
• Изменить или отозвать разрешение можно кнопкой «Настройки cookie» в нижней части страницы

10. Права субъекта данных

В соответствии с Федеральным законом № 152-ФЗ Пользователь имеет следующие права (реализация некоторых прав может быть ограничена в случаях, предусмотренных законодательством, в том числе при наличии обязательных сроков хранения):

• Право на получение информации об обработке персональных данных Пользователя (ст. 14 152-ФЗ)
• Право на доступ к персональным данным Пользователя (ст. 14 152-ФЗ)
• Право на уточнение (исправление) персональных данных Пользователя (ст. 14 152-ФЗ)
• Право на блокирование или удаление персональных данных Пользователя (ст. 14, 21 152-ФЗ)
• Право на отзыв согласия на обработку персональных данных (ст. 9 152-ФЗ)
• Право на обжалование действий оператора в Роскомнадзор или в судебном порядке (ст. 17 152-ФЗ)

11. Трансграничная передача данных

Для серверной аналитики регистраций и входов используется необратимо хешированный идентификатор без передачи email, IP-адреса, данных пассов и полного URL. Сервер обработки задаётся конфигурацией и может находиться за пределами Российской Федерации. Оператор обязан обеспечить применимое правовое основание и установленный законом порядок уведомления Роскомнадзора для такой передачи. Если выбранный организацией webhook или интеграция направляет данные за пределы Российской Федерации, эта организация обязана самостоятельно выполнить применимые требования к такой передаче.

12. Дети

Сервис 2Пасс предназначен для использования организациями и совершеннолетними лицами (18 лет и старше) в деловых целях. Оператор намеренно не собирает персональные данные лиц младше 18 лет. Если Пользователю стало известно, что несовершеннолетний предоставил Оператору персональные данные, просьба связаться с Оператором для их удаления.

13. Изменения политики

Актуальная версия Политики публикуется на этой странице с фиксированной датой редакции. При существенном изменении целей, состава данных или получателей Оператор до начала новой обработки обновляет необходимые уведомления и, когда требуется, получает новое согласие. Публикация новой Политики сама по себе не заменяет согласие субъекта.

14. Контакты

По всем вопросам, связанным с настоящей Политикой конфиденциальности и обработкой персональных данных, Пользователь может обратиться к Оператору. Обращения рассматриваются в соответствии со сроками, установленными законодательством (как правило, в течение 30 дней с момента получения). privacy@2pass.ru