Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана и действует в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые оператором — самозанятым Плешаковым Александром Васильевичем, ИНН 773372437520 (далее — «Оператор», «Исполнитель»).

1.2. Оператор ставит важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.3. Настоящая Политика применяется ко всем персональным данным, которые Оператор получает от пользователей сайта aplaw.ru (далее — «Сайт»), как в процессе использования Сайта, так и при оказании платных услуг.

1.4. Политика публикуется в свободном доступе на Сайте по адресу aplaw.ru/privacy.php в соответствии с ч. 2 ст. 18.1 152-ФЗ.

2. Основные понятия

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых персональных данных.

2.3. Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.4. Субъект персональных данных — пользователь Сайта (физическое лицо), чьи персональные данные обрабатываются Оператором.

2.5. Согласие субъекта — конкретное, предметное, информированное и сознательное согласие субъекта на обработку его персональных данных, выраженное в форме, позволяющей подтвердить факт его получения.

2.6. Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

3. Категории субъектов персональных данных

3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Анонимные пользователи Сайта — лица, использующие бесплатный чат с ИИ-юристом и не прошедшие регистрацию. Персональные данные, позволяющие идентифицировать личность, у таких пользователей Оператором не собираются. Обрабатывается только технический идентификатор (см. раздел 9).
• Зарегистрированные пользователи — лица, создавшие личный кабинет на Сайте.
• Пользователи платных услуг — лица, оплатившие последующий чат с ИИ, проверку ответа юристом или Legal Opinion.
• Представители контрагентов (юридических лиц и ИП) — контактные лица плательщиков-организаций.

3.2. Оператор не обрабатывает специальные категории персональных данных (раса, национальность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные. Оператор не обрабатывает персональные данные несовершеннолетних лиц.

4. Состав обрабатываемых персональных данных

4.1. В зависимости от категории субъекта Оператор может обрабатывать следующие персональные данные:

Анонимные пользователи:

• технический идентификатор пользователя, хранимый в cookie (далее — anon_id);
• содержание вопросов и файлов, загруженных пользователем в чат с ИИ-юристом (без требования указания персональных данных).

Зарегистрированные пользователи:

• логин и пароль (пароль хранится в виде криптографического хеша);
• адрес электронной почты (email);
• дата регистрации;
• баланс лицевого счёта;
• история обращений к сервисам (чаты, платежи, заказы услуг Исполнителя).

Пользователи платных услуг (плательщики-физические лица):

• email, указанный при оплате;
• сведения о платеже (дата, сумма, тип услуги, статус, идентификатор платежа в ЮKassa);
• содержание заказа (тема консультации или предмет Legal Opinion).

Представители контрагентов (при оплате от юрлица или ИП):

• наименование организации / ФИО ИП;
• ИНН, КПП, ОГРН / ОГРНИП;
• юридический адрес;
• ФИО контактного лица.

4.2. Оператор не собирает и не обрабатывает: ФИО физических лиц-пользователей (кроме случаев оплаты от ИП или представителей юрлиц), паспортные данные, СНИЛС, адрес проживания, номер телефона, данные банковских карт, сведения о состоянии здоровья и иные категории данных, не перечисленные в п. 4.1.

4.3. Оператор не хранит данные банковских карт. Оплата производится через платёжный сервис ЮKassa; Оператору передаётся только результат операции (успех/неуспех, сумма, идентификатор платежа).

5. Цели обработки персональных данных

5.1. Оператор обрабатывает персональные данные исключительно в следующих целях:

• идентификация пользователя в личном кабинете;
• предоставление доступа к функциональности Сайта (чаты с ИИ-юристом, история консультаций, баланс);
• оформление и исполнение платных услуг (последующий чат, проверка ответа юристом, Legal Opinion);
• приём оплаты и возврат средств, формирование чеков и первичных бухгалтерских документов;
• информирование пользователя о статусе заказа, сроках подготовки, изменении стоимости (в случаях, предусмотренных Офертой);
• рассмотрение обращений, претензий и жалоб пользователя;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (в том числе налоговым).

5.2. Оператор не использует персональные данные для целей рекламы третьих лиц и не передаёт их для этих целей кому-либо.

6. Правовые основания обработки

6.1. Правовыми основаниями обработки персональных данных являются:

• ст. 6 152-ФЗ — обработка, необходимая для исполнения договора, стороной которого является субъект персональных данных (Публичная оферта);
• согласие субъекта персональных данных на обработку его персональных данных (ст. 9 152-ФЗ), оформляемое отдельным чекбоксом перед оплатой;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации (в том числе Налоговым кодексом РФ);
• иные основания, предусмотренные законодательством РФ.

6.2. Акцепт Публичной оферты, размещённой по адресу aplaw.ru/terms.php, оформляется отдельно от согласия на обработку персональных данных.

7. Порядок и условия обработки персональных данных

7.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования таких средств (смешанная обработка).

7.2. Оператор обрабатывает персональные данные на территории Российской Федерации. Трансграничная передача персональных данных не осуществляется.

7.3. Обработка персональных данных осуществляется в объёме, необходимом для достижения целей, указанных в разделе 5 настоящей Политики. Избыточная обработка не допускается.

7.4. Персональные данные, обрабатываемые Оператором, хранятся на серверах, расположенных на территории Российской Федерации, предоставленных хостинг-провайдером.

7.5. Согласие субъекта может быть отозвано в любой момент путём направления соответствующего обращения через форму обратной связи. Отзыв согласия не распространяется на обработку, осуществляемую в целях исполнения договора, стороной которого является субъект, а также в целях исполнения обязанностей, предусмотренных законодательством РФ.

7.6. В случаях, когда обработка персональных данных осуществляется без использования средств автоматизации, Оператор также соблюдает требования, установленные Постановлением Правительства РФ от 15.09.2008 № 687.

8. Передача персональных данных третьим лицам

8.1. Оператор вправе передавать персональные данные третьим лицам в объёме, необходимом для достижения целей, указанных в разделе 5, в частности:

• АО «ЮMoney» (платёжный сервис ЮKassa) — для приёма оплаты, возврата средств и формирования фискальных чеков. Передаются: сумма платежа, назначение, email плательщика, идентификатор заказа. ЮKassa действует в соответствии со своей политикой обработки персональных данных;
• хостинг-провайдер — для размещения Сайта и базы данных на сервере, расположенном на территории РФ;
• ФНС России и иные государственные органы — в случаях, прямо предусмотренных законодательством РФ.

8.2. Оператор не передаёт персональные данные третьим лицам в коммерческих целях (для рассылок, рекламы, аналитики третьих лиц).

8.3. Передача персональных данных в иностранные государства (трансграничная передача) не осуществляется.

9. Cookies и технические данные

9.1. Сайт использует минимально необходимый набор cookie-файлов:

• anon_id — технический идентификатор анонимного пользователя, хранится 1 год. Служит для связывания вопросов пользователя в чатах с ИИ до регистрации;
• PHPSESSID — идентификатор сессии, хранится до закрытия браузера или до истечения срока сессии. Служит для поддержания авторизации.

9.2. Оператор не использует cookie-файлы для отслеживания поведения пользователя в рекламных сетях и не передаёт их третьим лицам.

9.3. Пользователь может отключить cookie-файлы в настройках браузера. Это может привести к частичной или полной утрате работоспособности отдельных функций Сайта.

9.4. Оператор вправе вести обезличенную статистику посещений Сайта, не позволяющую идентифицировать конкретного пользователя.

10. Сроки обработки и хранения персональных данных

10.1. Персональные данные обрабатываются до достижения целей обработки, но не дольше, чем этого требуют цели их обработки, либо до отзыва субъектом персональных данных согласия на обработку.

10.2. Отдельные категории данных хранятся в следующие сроки:

• данные личного кабинета (email, логин, история консультаций) — в течение всего срока существования учётной записи, а также 3 (три) года после последнего обращения пользователя к Сайту;
• данные о платежах и первичные документы — в течение срока, установленного законодательством РФ для хранения документов бухгалтерского и налогового учёта (не менее 4 лет);
• содержание чатов с ИИ-юристом — до удаления учётной записи либо до отзыва согласия;
• технический идентификатор anon_id — 1 год с момента установки.

10.3. По достижении целей обработки, а также в случае отзыва субъектом согласия, персональные данные подлежат уничтожению или обезличиванию в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено законодательством РФ.

11. Права субъекта персональных данных

11.1. Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном ст. 14 152-ФЗ;
• требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

11.2. Для реализации своих прав субъект направляет обращение через форму обратной связи. Обращение должно содержать сведения, позволяющие идентифицировать субъекта (email, привязанный к учётной записи), и существо требования.

11.3. Срок рассмотрения обращения — 10 (десять) рабочих дней со дня его получения. В исключительных случаях срок может быть продлён, но не более чем на 5 (пять) рабочих дней, с направлением субъекту мотивированного уведомления.

12. Меры по обеспечению безопасности персональных данных

12.1. Оператор — самозанятый, работает единолично, без привлечения сотрудников. Все персональные данные обрабатываются на сервере, доступ к которому имеет только Оператор.

12.2. Для защиты персональных данных применяются следующие меры:

• передача данных между браузером пользователя и сервером осуществляется по защищённому протоколу HTTPS (TLS);
• пароли пользователей хранятся исключительно в виде криптографических хешей, восстановление исходного пароля невозможно;
• запросы, изменяющие данные, защищены от подделки (CSRF-защита);
• административный доступ к серверу защищён надёжным паролем и средствами ограничения перебора, предоставляемыми хостинг-провайдером;
• доступ к базе данных ограничен локальным подключением с сервера, прямой доступ извне закрыт;
• хостинг-провайдер регулярно создаёт резервные копии данных; копии хранятся в защищённом виде на стороне провайдера;
• программное обеспечение сервера регулярно обновляется для устранения известных уязвимостей.

12.3. В случае выявления инцидента, повлёкшего неправомерную передачу (предоставление, распространение, доступ) персональных данных, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) в течение 24 (двадцати четырёх) часов с момента выявления инцидента, проводит внутреннее расследование и принимает меры по устранению последствий инцидента.

12.4. Оператор не привлекает для обработки персональных данных третьих лиц, за исключением случаев, указанных в разделе 8 настоящей Политики (платёжный сервис ЮKassa, хостинг-провайдер).

13. Ответственный за организацию обработки персональных данных

13.1. В связи с тем, что Оператор осуществляет деятельность единолично, функции ответственного за организацию обработки персональных данных исполняет сам Оператор — самозанятый Плешаков Александр Васильевич, ИНН 773372437520.

13.2. Обращения по вопросам, связанным с обработкой персональных данных, направляются через форму обратной связи.

14. Изменение Политики

14.1. Оператор вправе изменять настоящую Политику в одностороннем порядке. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не указано в самой новой редакции.

14.2. Действующая редакция Политики всегда доступна по адресу aplaw.ru/privacy.php.

14.3. Продолжение использования Сайта после публикации изменений означает согласие субъекта с новой редакцией Политики в части, не требующей отдельного согласия.

14.4. Изменения, касающиеся целей и состава обрабатываемых персональных данных, требующие нового согласия субъекта, вступают в силу только после получения такого согласия.

15. Контактные данные Оператора