Политика в отношении обработки персональных данных

1. Общие положения

1.1. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.2. Политика применяется ко всем персональным данным, которые ООО «СТАНДАРТ ПЛЮС» получает от пользователей Сервиса, и действует в отношении данных, полученных как до, так и после её публикации.

1.3. Использование Сервиса означает согласие пользователя с настоящей Политикой и указанными в ней условиями обработки его персональных данных. При несогласии с любым из условий пользователю следует прекратить использование Сервиса.

1.4. Действующая редакция Политики постоянно доступна по адресу https://fraim.ru/legal/privacy.

2. Термины и определения

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Оператор — Общество с ограниченной ответственностью «СТАНДАРТ ПЛЮС», самостоятельно или совместно с другими лицами организующая и (или) осуществляющая обработку персональных данных, а также определяющая цели обработки, состав данных и совершаемые с ними действия.
• Обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Пользователь — физическое лицо, использующее Сервис, в том числе действующее от имени и в интересах юридического лица или индивидуального предпринимателя.
• Учётная запись — совокупность данных о Пользователе в личном кабинете, идентифицируемая адресом электронной почты.
• API-токен — секретный ключ доступа к программному интерфейсу, выпускаемый Пользователем в личном кабинете.
• Закупки — продукт Сервиса по адресу https://zakupki.fraim.ru, подбирающий закупки по описанию деятельности Пользователя и обрабатывающий их сведения и документы, в том числе с применением технологий искусственного интеллекта (далее — «ИИ»).
• Профиль — заданные Пользователем в сервисе «Закупки» описание деятельности и параметры, по которым ведётся подбор закупок.

3. Оператор персональных данных

Оператором персональных данных и администратором сайта является Общество с ограниченной ответственностью «СТАНДАРТ ПЛЮС» (ООО «СТАНДАРТ ПЛЮС»). Сервис работает под названиями «Fraim.ru» и ГК «ФРЭЙМ ДЕВ» — самостоятельными операторами они не являются: все обязанности оператора несёт указанное юридическое лицо.

Наименование

Общество с ограниченной ответственностью «СТАНДАРТ ПЛЮС»

ИНН / КПП

7448243908 / 744801001

ОГРН

1227400026820

Адрес

454106, г. Челябинск, ул. Островского, д. 38, кв. 45

Электронная почта

info@fraim.ru

Поддержка Сервиса

support@fraim.ru

4. Какие персональные данные обрабатываются

4.1. Оператор обрабатывает данные следующих категорий субъектов: посетители сайтов; пользователи личного кабинета и сервиса «Закупки»; представители юридических лиц и индивидуальные предприниматели — плательщики; лица, обратившиеся в поддержку.

4.2. Состав обрабатываемых данных:

• Адрес электронной почты — единственный обязательный реквизит регистрации. Регистрация с использованием адресов, размещённых у иностранных провайдеров электронной почты, не допускается в силу требований Федерального закона от 27.07.2006 № 149-ФЗ.
• Одноразовые коды подтверждения — хранятся исключительно в виде необратимых хеш-значений с солью, погашаются после использования и по истечении срока действия.
• Технические сведения о сеансах и запросах — IP-адрес, сведения о браузере или HTTP-клиенте (User-Agent), дата и время обращения, идентификатор сессии, факты входа и неудачных попыток входа.
• Сведения об использовании Сервиса — выпущенные API-токены (сами секреты не хранятся, только их необратимые хеш-значения), состояние баланса, история списаний и пополнений, служебные журналы запросов.
• Наименование организации, указанное при регистрации в сервисе «Закупки», — используется как название аккаунта. Для индивидуального предпринимателя такое наименование является персональными данными.
• Данные, введённые Пользователем в сервисе «Закупки» — описание деятельности и параметры Профиля, вопросы к обработке документов закупок, отметки и решения по подобранным закупкам, а также результаты их обработки с помощью ИИ (оценки соответствия, пояснения, ответы по документам). Эти данные обрабатываются как содержимое учётной записи Пользователя; персональными данными они становятся в той части, в какой Пользователь сам их туда внёс.
• Реквизиты плательщика, указанные Пользователем для выставления счёта и подписания акта: наименование организации, ИНН, КПП, ОГРН, юридический адрес, банковские реквизиты. Для индивидуального предпринимателя такие сведения являются персональными данными.
• Содержание обращений в поддержку и по коммерческим вопросам — адрес отправителя, текст письма и приложенные файлы.
• Данные веб-аналитики и cookie — см. раздел 11.

4.3. Оператор не обрабатывает специальные категории персональных данных (раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь), биометрические персональные данные, а также данные о судимости.

4.4. Оператор не запрашивает и не хранит платёжные реквизиты банковских карт: оплата производится безналичным перечислением по выставленному счёту.

4.5. Оператор не проверяет достоверность предоставленных Пользователем сведений и исходит из того, что Пользователь предоставляет достоверные данные и вправе их предоставлять.

5. Цели обработки

• регистрация Пользователя, создание и ведение учётной записи;
• аутентификация — отправка и проверка одноразового кода входа, поддержание сессии личного кабинета, проверка API-токенов;
• предоставление доступа к Сервису и исполнение договора с Пользователем;
• учёт потребления и расчётов: ведение балансов продуктов, списание за доставленные объекты и за услуги сервиса «Закупки», выставление счетов, формирование актов и иных документов бухгалтерского учёта;
• оказание услуг сервиса «Закупки»: подбор закупок по Профилю Пользователя, оценка их соответствия и обработка сведений и документов закупок, в том числе с применением ИИ;
• направление уведомлений, связанных с работой Сервиса: код входа, счёт, изменение условий, технические и аварийные оповещения;
• обработка обращений в поддержку и по коммерческим вопросам;
• обеспечение безопасности: выявление и пресечение попыток несанкционированного доступа, подбора кодов и токенов, применение ограничений частоты запросов, расследование инцидентов;
• улучшение Сервиса — анализ обезличенной статистики посещаемости и использования интерфейсов;
• исполнение обязанностей, возложенных на Оператора законодательством РФ.

Рекламные и информационные рассылки, не связанные с работой Сервиса, направляются только при наличии отдельного согласия Пользователя и прекращаются по первому требованию.

6. Правовые основания обработки

• Исполнение договора, стороной которого является Пользователь (п. 5 ч. 1 ст. 6 152-ФЗ) — Условия использования и договор об оказании услуг: обработка учётной записи, доступа и расчётов;
• Согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ) — использование cookie и систем веб-аналитики, а также рассылки, не связанные с работой Сервиса;
• Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 152-ФЗ) — в частности, требования Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте» и налогового законодательства к хранению первичных документов;
• Законные интересы Оператора (п. 7 ч. 1 ст. 6 152-ФЗ) — обеспечение информационной безопасности Сервиса и защита от злоупотреблений, при условии что при этом не нарушаются права и свободы субъекта.

7. Способы и особенности обработки

7.1. Обработка ведётся с использованием средств автоматизации, а также без их использования, и включает действия, перечисленные в разделе 2.

7.2. Оператор не принимает решений, порождающих юридические последствия для Пользователя или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных. Автоматические ограничения доступа (например, срабатывание защиты от подбора кода или превышение лимита частоты запросов) носят технический и временный характер и пересматриваются по обращению Пользователя.

7.3. Оператор не осуществляет обработку персональных данных в целях продвижения товаров и услуг третьих лиц и не передаёт данные Пользователей третьим лицам для таких целей.

7.4. В сервисе «Закупки» разбор закупок выполняется с применением ИИ: привлечённому поставщику моделей передаются сведения и документы закупок из открытых источников, описание деятельности и параметры Профиля и заданные Пользователем вопросы, и по ним формируются оценки соответствия, пояснения и ответы. Персональные данные Пользователя — адрес электронной почты, одноразовые коды, API-токены, реквизиты плательщика, журналы и сведения о сеансах — в модель не передаются. Описание деятельности и вопросы Пользователь формулирует сам и обязуется не вносить в них персональные данные третьих лиц (п. 6.2 Условий использования).

7.5. Оператор не использует данные Пользователя для обучения моделей ИИ и не передаёт их для этой цели. Результаты работы ИИ относятся к закупкам, а не к оценке личности Пользователя, и решений, порождающих для Пользователя юридические последствия, в смысле п. 7.2 не принимают.

8. Согласие и его отзыв

8.1. Согласие на обработку персональных данных даётся Пользователем путём проставления отметки при регистрации и (или) фактическим использованием Сервиса, и действует до его отзыва либо до достижения целей обработки.

8.2. Согласие может быть отозвано в любой момент — письмом на info@fraim.ru с адреса электронной почты, указанного в учётной записи, либо письменным заявлением в адрес Оператора.

8.3. Отзыв согласия влечёт прекращение доступа к Сервису и удаление учётной записи, за исключением данных, обязанность хранить которые возложена на Оператора законом (раздел 9). Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней с даты получения отзыва, если иное не предусмотрено ч. 5 ст. 21 152-ФЗ.

8.4. Согласие на получение рассылок, не связанных с работой Сервиса, может быть отозвано отдельно, без прекращения использования Сервиса.

9. Сроки и место хранения

9.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором:

• данные учётной записи — в течение срока её существования и 30 дней после удаления;
• содержимое Профилей сервиса «Закупки», история подбора, вопросы и результаты обработки — в течение срока существования аккаунта сервиса «Закупки» и 30 дней после его удаления;
• одноразовые коды входа — до истечения срока действия кода, после чего погашаются;
• журналы входов, IP-адресов и служебные журналы запросов — не более 12 месяцев, если больший срок не требуется для расследования инцидента;
• счета, акты и иные документы бухгалтерского учёта вместе с относящимися к ним реквизитами — не менее 5 лет в силу закона;
• переписка с поддержкой — не более 3 лет с даты последнего сообщения;
• согласия на рассылку и сведения об их отзыве — до истечения срока исковой давности.

9.2. Базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах, расположенных на территории Российской Федерации, в соответствии с ч. 5 ст. 18 152-ФЗ.

9.3. Трансграничная передача персональных данных Оператором не осуществляется. Если для оказания услуг потребуется привлечь лицо, обрабатывающее персональные данные за пределами Российской Федерации, Оператор до начала такой передачи изменит настоящую Политику, уведомит Пользователей в порядке п. 15.2 и выполнит требования ст. 12 152-ФЗ.

9.4. По достижении целей обработки, а также при отзыве согласия данные подлежат уничтожению либо обезличиванию в сроки, установленные 152-ФЗ.

10. Передача третьим лицам

10.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, перечисленных ниже.

10.2. Для достижения целей раздела 5 отдельные действия по обработке поручаются следующим лицам, действующим по поручению Оператора и обязанным соблюдать конфиденциальность и требования 152-ФЗ:

• Почтовый хостинг reg.ru (hosting.reg.ru) — передаётся адрес электронной почты и текст письма, чтобы доставить код входа и уведомления Сервиса;
• Сервис подсказок реквизитов DaData (dadata.ru) — передаётся строка поиска (ИНН или наименование организации), введённая Пользователем в форме добавления организации, чтобы подставить реквизиты из открытых государственных реестров;
• ООО «ЯНДЕКС», сервис «Яндекс Метрика» — передаются данные веб-аналитики, указанные в разделе 11;
• Поставщик услуг хостинга и центра обработки данных, серверы которого расположены на территории Российской Федерации, — в объёме, необходимом для размещения и работы Сервиса.

10.3. Поставщик моделей ИИ, привлечённый для разбора закупок в сервисе «Закупки», в перечень п. 10.2 не включён: персональные данные Пользователей ему не передаются, состав передаваемых сведений определён п. 7.4.

10.4. Персональные данные могут быть предоставлены государственным органам по их мотивированному запросу в порядке и объёме, установленных законодательством Российской Федерации.

10.5. Данные могут быть переданы правопреемнику Оператора при реорганизации или отчуждении Сервиса — с сохранением условий настоящей Политики и с уведомлением Пользователей.

11. Cookie и веб-аналитика

11.1. Сайты, личный кабинет и сервис «Закупки» используют cookie и аналогичные технологии локального хранения (localStorage). Технически необходимые cookie обеспечивают работу сессии, авторизацию и сохранение пользовательских настроек интерфейса — без них Сервис работать не будет.

11.2. Для сбора обезличенной статистики посещаемости используется сервис «Яндекс Метрика» (ООО «ЯНДЕКС»). Метрика получает сведения о посещении: обезличенный идентификатор посетителя, IP-адрес, данные браузера и устройства, источник перехода, просмотренные страницы, время и глубину просмотра. Счётчик один на все адреса Сервиса, включая сервис «Закупки», и на них включена запись действий на странице (вебвизор): фиксируются перемещения курсора, прокрутка и клики. Содержимое полей ввода — в том числе описание деятельности и вопросы в сервисе «Закупки» — в записи вебвизора маскируется средствами сервиса; API-токены и одноразовые коды в аналитику не передаются.

11.3. Обработка данных Метрикой регулируется условиями ООО «ЯНДЕКС», опубликованными по адресу yandex.ru/legal/confidential.

11.4. Пользователь вправе отказаться от аналитических cookie: настройками браузера (запрет cookie, режим приватного просмотра), блокировщиком трекеров либо официальным дополнением «Блокировщик Яндекс Метрики». Отказ не влияет на доступ к Сервису, но может отключить отдельные удобства интерфейса, если запрещены и технически необходимые cookie.

12. Защита персональных данных

12.1. Оператор принимает правовые, организационные и технические меры, требуемые ст. 18.1 и 19 152-ФЗ, для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения. В их числе:

• передача данных между Пользователем и Сервисом по защищённому протоколу HTTPS;
• отказ от парольной аутентификации в пользу одноразового кода; хранение кодов и API-токенов только в виде необратимых хеш-значений;
• ограничение частоты запросов, защита от подбора кодов входа и автоматическое завершение сессии по истечении срока её действия;
• разграничение доступа сотрудников к данным по принципу минимальных полномочий;
• ведение журналов доступа и регулярное резервное копирование;
• назначение лица, ответственного за организацию обработки персональных данных.

12.2. При установлении факта неправомерной передачи персональных данных Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в сроки, установленные ч. 3.1 ст. 21 152-ФЗ.

12.3. Ответственность за сохранность API-токенов и доступа к почтовому ящику, на который приходят коды входа, несёт Пользователь. API-токен предоставляет доступ к балансу и данным учётной записи — его следует хранить только на сервере. Содержимое Профилей и результаты обработки доступны в том аккаунте сервиса «Закупки», к которому относится учётная запись.

13. Права субъекта персональных данных

Пользователь вправе:

• получить подтверждение факта обработки его данных, сведения о правовых основаниях, целях, способах обработки, сроках и лицах, которым данные передаются;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устаревшие, неточные, незаконно получены или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку в порядке раздела 8;
• возражать против обработки в целях продвижения товаров и услуг и отказаться от рассылок;
• требовать удаления учётной записи и связанных с ней данных — с учётом ограничений раздела 9;
• обжаловать действия или бездействие Оператора в Роскомнадзор либо в судебном порядке.

14. Как направить запрос Оператору

14.1. Запрос направляется письмом на info@fraim.ru либо в письменной форме по адресу Оператора (раздел 3).

14.2. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 152-ФЗ: сведения, подтверждающие участие Пользователя в отношениях с Оператором (например, адрес электронной почты учётной записи), либо реквизиты документа, удостоверяющего личность; сведения, подтверждающие факт обработки данных Оператором; подпись Пользователя или его представителя. Запрос, направленный с адреса электронной почты, указанного в учётной записи, рассматривается как исходящий от её владельца.

14.3. Оператор отвечает в срок, не превышающий 10 рабочих дней с даты получения запроса. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением Пользователя о причинах продления.

14.4. Уточнение, блокирование и уничтожение данных производятся в сроки, установленные ст. 21 152-ФЗ, с уведомлением Пользователя о выполненных действиях.

15. Изменение Политики

15.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента её размещения по адресу https://fraim.ru/legal/privacy, если иное не предусмотрено самой редакцией.

15.2. Дата вступления действующей редакции в силу указана в начале документа. О существенных изменениях Оператор дополнительно уведомляет Пользователей по адресу электронной почты, указанному в учётной записи.

15.3. Продолжение использования Сервиса после вступления новой редакции в силу означает согласие с ней.