Personal data processing policy

Версия 1.0. Дата вступления в силу: [[УКАЗАТЬ: дата вступления в силу]].

⚠️ Проект документа. Требует верификации практикующим юристом до публикации. Приведённые ниже сведения о процессах обработки составлены по описанию сервиса и должны быть сверены с фактическими бизнес-процессами Оператора.

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок обработки и меры по обеспечению безопасности персональных данных, предпринимаемые Оператором.

1.2. Политика разработана во исполнение требования части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ») и публикуется в свободном доступе в сети «Интернет».

1.3. Оператор персональных данных (далее — «Оператор»):

• полное наименование: Общество с ограниченной ответственностью «Амперсанд» (ООО «Амперсанд»);
• ИНН: 9717094009;
• ОГРН: 1207700305240;
• адрес: 129226, город Москва, Сельскохозяйственная ул., д. 30 стр. 1, этаж 1 офис 7;
• адрес для обращений по вопросам обработки персональных данных: support@ytis.ru.

1.4. Политика распространяется на обработку персональных данных, осуществляемую Оператором при предоставлении доступа к сервису «ЮТИС», размещённому на сайте https://ytis.ru и в связанных с ним приложениях (далее — «Сервис»).

1.5. Сервис представляет собой личную рабочую область для планирования путешествий: пользователь создаёт планы маршрутов в интерактивном конструкторе на карте, объединяет их в проекты, загружает GPS-треки и фотографии, отмечает точки интереса.

1.6. Действующая редакция Политики постоянно доступна по адресу https://ytis.ru/legal/privacy-policy.

2. Термины

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение.

2.3. Пользователь — физическое лицо, использующее Сервис.

2.4. Рабочая область — совокупность создаваемого Пользователем содержимого: планы маршрутов, проекты, GPS-треки, точки интереса, загруженные файлы и сопровождающие их описания.

2.5. Иные термины используются в значении, установленном Законом № 152-ФЗ.

3. Правовые основания обработки

3.1. Оператор обрабатывает персональные данные на следующих правовых основаниях:

3.1.1. согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6 Закона № 152-ФЗ);

3.1.2. исполнение договора, стороной которого является субъект персональных данных, — Пользовательского соглашения (пункт 5 части 1 статьи 6 Закона № 152-ФЗ);

3.1.3. исполнение возложенных на Оператора обязанностей, предусмотренных законодательством Российской Федерации (пункт 2 части 1 статьи 6 Закона № 152-ФЗ);

3.1.4. осуществление прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы субъекта персональных данных (пункт 7 части 1 статьи 6 Закона № 152-ФЗ), — в части обеспечения работоспособности и безопасности Сервиса.

3.2. Обработка персональных данных осуществляется также на основании:

• Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Гражданского кодекса Российской Федерации;
• Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» — в части направления рекламных сообщений.

4. Категории субъектов и состав обрабатываемых данных

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

4.1.1. посетители Сервиса — лица, использующие Сервис без регистрации;

4.1.2. зарегистрированные пользователи — лица, создавшие учётную запись;

4.1.3. лица, направившие обращение Оператору.

4.2. Состав обрабатываемых персональных данных:

4.2.1. Данные учётной записи: адрес электронной почты; имя или иное обозначение, указанное Пользователем; пароль в виде необратимого хэша.

4.2.2. Содержимое рабочей области: планы маршрутов и их геометрия; координаты точек маршрута и точек интереса; GPS-треки, загруженные Пользователем; фотографии и иные загружаемые файлы; текстовые описания, названия и заметки.

4.2.3. Технические данные: IP-адрес; дата и время обращения к Сервису; сведения о типе и версии браузера и операционной системы; тип устройства; язык интерфейса; адрес страницы, с которой совершён переход; идентификаторы файлов cookie.

4.2.4. Данные обращений: адрес электронной почты и содержание сообщения, направленного Пользователем Оператору.

4.3. ⚠️ Данные о местоположении. GPS-треки, координаты точек маршрута и метаданные фотографий (в том числе координаты и время съёмки, сохраняемые в EXIF) позволяют установить фактические перемещения конкретного человека. Такие сведения не относятся к специальным категориям персональных данных по статье 10 Закона № 152-ФЗ, однако обладают повышенной чувствительностью. Оператор обрабатывает их исключительно для функционирования конструктора маршрутов и не использует для профилирования, таргетирования рекламы или передачи третьим лицам в маркетинговых целях. Данный пункт требует проверки юристом на соответствие фактической архитектуре хранения и доступа.

4.4. Оператор не обрабатывает специальные категории персональных данных (статья 10 Закона № 152-ФЗ) и биометрические персональные данные (статья 11 Закона № 152-ФЗ).

4.5. Оператор не обрабатывает платёжные данные. Сервис предоставляется безвозмездно; приём платежей не осуществляется.

4.6. Пользователь обязуется не размещать в рабочей области персональные данные третьих лиц без наличия у него правового основания для их передачи Оператору, а также не размещать сведения, относящиеся к специальным категориям персональных данных.

5. Цели обработки

5.1. Регистрация и предоставление доступа к Сервису.

• Правовое основание: исполнение договора (Пользовательского соглашения); согласие.
• Состав данных: данные учётной записи (пункт 4.2.1).
• Срок обработки: до удаления учётной записи, далее — в соответствии с разделом 9.

5.2. Обеспечение работы конструктора маршрутов и хранение содержимого рабочей области.

• Правовое основание: исполнение договора; согласие.
• Состав данных: содержимое рабочей области (пункт 4.2.2).
• Срок обработки: до удаления соответствующего содержимого или учётной записи Пользователем.

5.3. Обеспечение работоспособности, безопасности и защиты Сервиса от неправомерных действий.

• Правовое основание: законный интерес Оператора; исполнение обязанностей, установленных законодательством.
• Состав данных: технические данные (пункт 4.2.3).
• Срок обработки: 6 (шесть) месяцев с даты фиксации.

5.4. Рассмотрение обращений Пользователей и техническая поддержка.

• Правовое основание: согласие; исполнение договора.
• Состав данных: данные обращений (пункт 4.2.4); данные учётной записи.
• Срок обработки: 3 (три) года с даты завершения переписки.

5.5. Анализ посещаемости и улучшение Сервиса.

• Правовое основание: согласие, выражаемое посредством настроек файлов cookie.
• Состав данных: технические данные (пункт 4.2.3); идентификаторы систем веб-аналитики; сведения о действиях на страницах Сервиса, включая карту кликов и записи сеансов (функция «Вебвизор» Яндекс.Метрики).
• Срок обработки: в соответствии со сроками хранения файлов cookie, указанными в Политике использования файлов cookie.

5.6. Направление сервисных уведомлений (изменение условий, сведения о безопасности учётной записи, технические работы).

• Правовое основание: исполнение договора.
• Состав данных: адрес электронной почты.
• Срок обработки: до удаления учётной записи.

5.7. Направление рекламных и информационных рассылок.

• Правовое основание: отдельное согласие Пользователя (статья 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).
• Состав данных: адрес электронной почты; имя.
• Срок обработки: до отзыва согласия.
• Согласие на получение рассылок предоставляется отдельно, не является условием использования Сервиса и может быть отозвано в любой момент.

6. Способы обработки

6.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без их использования.

6.2. Оператор не принимает решений, порождающих юридические последствия в отношении Пользователя, исключительно на основании автоматизированной обработки персональных данных (статья 16 Закона № 152-ФЗ).

7. Передача персональных данных

7.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам иначе как в случаях, указанных в настоящем разделе.

7.2. Оператор привлекает к обработке персональных данных по поручению (часть 3 статьи 6 Закона № 152-ФЗ) следующих лиц:

7.2.1. поставщика облачной инфраструктуры и почты — для размещения серверов Сервиса, хранения загружаемых файлов и отправки электронных писем. Инфраструктура размещена на территории Российской Федерации. Поставщик — Общество с ограниченной ответственностью «ТАЙМВЭБ.КЛАУД» (ООО «ТАЙМВЭБ.КЛАУД»), ИНН 7810945525, адрес: 420500, Республика Татарстан, Верхнеуслонский р-н, г. Иннополис, ул. Университетская, д. 7, офис 605;

7.2.2. оператора системы веб-аналитики — ООО «ЯНДЕКС» (сервис «Яндекс.Метрика») для сбора обезличенной статистики посещаемости.

7.3. Передача осуществляется на основании договора, содержащего обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, а также перечень действий с персональными данными и цели обработки.

7.4. Оператор передаёт персональные данные государственным органам по основаниям и в порядке, установленным законодательством Российской Федерации.

7.5. Содержимое рабочей области Пользователя закрыто от других лиц. Оператор не предоставляет к нему доступ иным пользователям и третьим лицам, за исключением случаев, когда Пользователь самостоятельно инициировал такой доступ, и случаев, предусмотренных законом.

8. Трансграничная передача

8.1. Оператор не осуществляет трансграничную передачу персональных данных. Серверы Сервиса размещены на территории Российской Федерации. Карты, спутниковые снимки, данные рельефа, построение маршрутов, поиск по адресам и шрифты интерфейса обслуживаются собственными серверами Оператора; к сервисам, расположенным за пределами Российской Федерации, браузер Пользователя не обращается.

8.2. При подключении к Сервису лиц, находящихся за пределами Российской Федерации, Оператор до начала передачи выполняет требования статьи 12 Закона № 152-ФЗ и вносит соответствующие изменения в настоящую Политику.

9. Сроки хранения и порядок уничтожения

9.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором.

9.2. Конкретные сроки по каждой цели указаны в разделе 5.

9.3. Удаление учётной записи Пользователем безвозвратно: период восстановления не предусмотрен. Вход в учётную запись прекращается в момент удаления, после чего данные учётной записи и содержимое рабочей области, включая загруженные файлы, автоматически уничтожаются.

9.4. При отзыве согласия Пользователем Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, если сохранение данных не требуется в силу закона или для исполнения договора.

9.5. При достижении целей обработки либо утрате необходимости в их достижении персональные данные уничтожаются в сроки, установленные Законом № 152-ФЗ.

9.6. Факт уничтожения персональных данных подтверждается актом об уничтожении либо выгрузкой из журнала регистрации событий информационной системы в порядке, установленном требованиями Роскомнадзора. ⚠️ Форма подтверждения подлежит проверке по действующему приказу Роскомнадзора.

10. Меры по обеспечению безопасности

10.1. Во исполнение части 1 статьи 18.1 и статьи 19 Закона № 152-ФЗ Оператор принимает следующие меры:

10.1.1. назначение лица, ответственного за организацию обработки персональных данных;

10.1.2. издание локальных актов по вопросам обработки персональных данных и ознакомление с ними работников;

10.1.3. определение угроз безопасности персональных данных и применение организационных и технических мер, необходимых для достижения установленного уровня защищённости, в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119;

10.1.4. разграничение прав доступа и учёт лиц, допущенных к персональным данным;

10.1.5. применение шифрования при передаче данных между браузером Пользователя и Сервисом (протокол HTTPS);

10.1.6. хранение паролей исключительно в виде необратимых хэшей;

10.1.7. резервное копирование и контроль целостности данных;

10.1.8. внутренний контроль соответствия обработки требованиям законодательства.

10.2. ⚠️ Перечень фактически реализованных мер подлежит сверке с внутренними документами Оператора. Указание в публичной Политике мер, которые не внедрены, создаёт самостоятельный риск при проверке.

11. Права субъекта персональных данных

11.1. Пользователь вправе:

11.1.1. получать сведения, касающиеся обработки его персональных данных, в объёме, установленном частью 7 статьи 14 Закона № 152-ФЗ;

11.1.2. требовать уточнения персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (статья 14 Закона № 152-ФЗ);

11.1.3. отозвать согласие на обработку персональных данных;

11.1.4. возражать против обработки персональных данных в целях продвижения товаров, работ и услуг (часть 3 статьи 15 Закона № 152-ФЗ);

11.1.5. обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке (статья 17 Закона № 152-ФЗ);

11.1.6. на защиту своих прав и законных интересов, включая возмещение убытков и компенсацию морального вреда.

11.2. Запрос направляется по адресу support@ytis.ru и должен содержать сведения, предусмотренные частью 3 статьи 14 Закона № 152-ФЗ: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором, либо сведения, иным образом подтверждающие факт обработки, подпись субъекта или его представителя.

11.3. Оператор рассматривает запрос и предоставляет ответ в срок, не превышающий 10 (десяти) рабочих дней с даты получения запроса. Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением мотивированного уведомления.

12. Порядок отзыва согласия

12.1. Согласие на обработку персональных данных отзывается путём направления уведомления по адресу support@ytis.ru либо путём удаления учётной записи в интерфейсе Сервиса.

12.2. Согласие на получение рекламных рассылок отзывается путём перехода по ссылке отказа, содержащейся в каждом рекламном сообщении, либо путём изменения настроек уведомлений в интерфейсе Сервиса.

12.3. Отзыв согласия на обработку персональных данных, необходимых для предоставления доступа к Сервису, влечёт невозможность дальнейшего использования Сервиса и удаление учётной записи.

12.4. После отзыва согласия Оператор вправе продолжить обработку персональных данных без согласия при наличии оснований, предусмотренных пунктами 2–11 части 1 статьи 6 Закона № 152-ФЗ.

13. Файлы cookie

13.1. Порядок использования файлов cookie и иных аналогичных технологий определяется Политикой использования файлов cookie, размещённой по адресу https://ytis.ru/legal/cookies.

14. Несовершеннолетние пользователи

14.1. ⚠️ Сервис не предназначен для использования лицами, не достигшими возраста 18 (восемнадцати) лет. Оператор не осуществляет целенаправленный сбор персональных данных таких лиц.

14.2. ⚠️ Согласие на обработку персональных данных несовершеннолетнего, не обладающего полной дееспособностью, даёт его законный представитель. Порядок проверки возраста и получения согласия законного представителя подлежит определению юристом исходя из фактической аудитории Сервиса.

14.3. При выявлении факта обработки персональных данных лица, не достигшего установленного возраста, без согласия законного представителя Оператор уничтожает такие данные.

15. Актуализация Политики

15.1. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения по адресу https://ytis.ru/legal/privacy-policy, если иное не предусмотрено новой редакцией.

15.2. Оператор уведомляет Пользователей о существенных изменениях Политики путём направления сообщения на адрес электронной почты, указанный при регистрации, либо путём размещения уведомления в интерфейсе Сервиса.

15.3. Предыдущие редакции Политики предоставляются по запросу, направленному по адресу support@ytis.ru.