Политика ООО «ЦП КАМАЗ» в отношении обработки персональных данных пользователей мобильного приложения «Челнок» и сведений о реализуемых требованиях к защите персональных данных

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Политика обработки персональных данных (далее – Политика) разработана в соответствии с Федеральным законом «О персональных данных» от 27.07.2006 № 152-ФЗ (далее – 152-ФЗ, федеральный закон).

1.2. Политика действует в отношении всей информации, которую Общество с ограниченной ответственностью «Цифровая платформа КАМАЗ» (ООО «ЦП КАМАЗ»), юридический адрес: 423827, Республика Татарстан, г. Набережные Челны, проспект Автозаводский, дом 2, кабинет 516 (далее – Оператор), может получить о Субъекте персональных данных (Пользователе) для целей пользования Мобильным приложением «Челнок» (далее – Мобильное приложение) и устанавливает обязательства Оператора по неразглашению и обеспечению режима защиты конфиденциальности персональных данных, которые Субъект персональных данных (Пользователь) предоставляет при регистрации и в процессе использования Мобильного приложения.

1.3. Настоящая Политика является внутренним нормативным (информационным) документом Оператора, к которому Пользователю обеспечивается постоянный доступ (для обеспечения доступа Политика опубликована в разделе «О приложении и документы» Мобильного приложения). Ознакомление Пользователя с настоящей Политикой осуществляется при регистрации в Мобильном приложении.

1.4. Мобильное приложение в общем случае не проверяет достоверность персональных данных, предоставляемых Пользователями, и не осуществляет контроль за их дееспособностью. Однако приложение исходит из того, что Пользователь предоставляет достоверную и достаточную персональную информацию по вопросам, предлагаемым Мобильным приложением, и поддерживает эту информацию в актуальном состоянии.

2. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

● Мобильное приложение (Приложение) «Челнок» – программное обеспечение Правообладателя для мобильных устройств (iOS, Android), предоставляющее доступ к Системе управления корпоративными поездками «Челнок» и предназначенное для автоматизации взаимодействия между Корпоративным клиентом и его сотрудниками при организации внутренних транспортных перевозок, а также для предоставления справочно-информационных сервисов (модули «Корпоративное такси», «Челнобус» и др.);

● Мобильное устройство – смартфон или планшет, соответствующий техническим требованиям для эксплуатации Мобильного приложения, опубликованным в соответствующем Магазине мобильных приложений;

● Магазин мобильных приложений – не принадлежащая Правообладателю цифровая платформа (информационная система), работающая через сеть Интернет, которая предоставляет Пользователю возможность скачивания и установки Мобильных приложений на Мобильное устройство Пользователя на условиях, определенных Магазином мобильных приложений;

● Корпоративный клиент – юридическое лицо или индивидуальный предприниматель (работодатель Пользователя или его контрагент), заключивший с Правообладателем самостоятельный лицензионный договор на предоставление доступа к Системе управления корпоративными поездками «Челнок».

● Пользователь – дееспособное физическое лицо, являющееся сотрудником Корпоративного клиента (или иным уполномоченным им лицом), которое установило Мобильное приложение на смартфон, планшет или любое другое Мобильное устройство и/или осуществило активацию такого Мобильного приложения на одном из указанных устройств и которое правомерно обладает безвозмездной неисключительной лицензией на использование Приложения в соответствии с правилами Пользовательского соглашения. Пользователь является субъектом персональных данных.

● Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

● Оператор – Общество с ограниченной ответственностью «Цифровая платформа КАМАЗ», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных Субъектов персональных данных (Пользователей) для целей пользования Мобильным приложением, определяющее состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными, цели и условия обработки персональных данных.

● Пользовательское соглашение — соглашение, заключаемое между Правообладателем и Пользователем в отношении порядка, правил и особенностей использования Пользователем Мобильного приложения. Пользователь присоединяется к такому соглашению и не имеет права вносить и/или требовать внесения в него каких-либо изменений или дополнений.

● Правообладатель – лицо, которому принадлежат исключительные права на Мобильное приложение. В настоящей Политике конфиденциальности Правообладателем является Общество с ограниченной ответственностью «Цифровая платформа КАМАЗ» (ИНН: 1650369414, ОГРН: 1181690078261) (далее – Правообладатель).

Иные термины и определения, используемые в настоящей Политике конфиденциальности и не указанные в настоящем разделе, применяются в значениях, определенных в статье 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПОЛЬЗОВАТЕЛЕЙ

3.1. Персональные данные Пользователя Оператор обрабатывает в следующих целях:

3.1.1. Создание, активация и верификация учетной записи (аккаунта) Пользователя в Мобильном приложении «Челнок» для идентификации и авторизации Пользователя;

3.1.2. Предоставление Пользователю доступа к функционалу, сервисам и возможностям Мобильного приложения «Челнок», обработка запросов и заявок от Пользователя;

3.1.3. Установление с Пользователем обратной связи, включая направление Пользователю сервисных, технических и транзакционных уведомлений, связанных с использованием Мобильного приложения.

3.1.4. Подтверждения достоверности и полноты персональных данных, предоставленных Пользователем.

3.1.5. Предоставления пользователю эффективной технической поддержки при возникновении проблем, связанных с использованием Мобильного приложения.

4. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Для целей пользования Мобильным приложением Оператором обрабатываются следующие категории персональных данных Пользователя: имя; номер телефона; адрес электронный почты (при наличии); географические данные устройства (местоположение Пользователя в режиме реального времени, собирается исключительно во время активного использования приложения для расчета маршрута).

4.2. Предоставление персональных данных, указанных в п. 4.1 настоящей Политики, необходимо для полноценного использования функционала Мобильного приложения (включая расчет маршрутов и подачу транспортных средств по геолокации). Использование Мобильного приложения без предоставления указанных данных может быть технически невозможным или ограниченным.

4.3. Оператор осуществляет обработку персональных данных в течение следующего срока: до достижения целей обработки персональных данных или до момента отзыва согласия субъекта персональных данных на обработку его персональных данных.

4.4. Запросы Субъектов персональных данных (Пользователей) в отношении обработки их персональных данных, а также отзывы согласий принимаются по почтовому адресу Оператора или по электронной почте support@chelnok.space.

4.5. Обработка персональных данных Оператором осуществляется на основе принципов законности, справедливости, конфиденциальности и ограничения обработки достижением конкретных, заранее определенных и законных целей.

4.6. Оператор производит обработку персональных данных при наличии согласия Субъекта в форме, предусмотренной законом, а также в целях исполнения договора (Пользовательского соглашения), стороной по которому является субъект персональных данных.

4.7. Перечень действий, осуществляемых Оператором с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение.

4.8. Хранение персональных данных осуществляется в форме, позволяющей определить Пользователя, не дольше, чем этого требуют цели обработки, если иной срок не установлен законом или договором.

4.9. Все персональные данные при их сборе записываются в корпоративные электронные базы данных (виртуальные серверы), расположенные на территории Российской Федерации в помещениях Оператора, в которых происходит также при необходимости их уточнение, изменение или обновление. Хранение осуществляется в базах данных с учетом требований по ограничению несанкционированного доступа к ним третьих лиц и защиты от угроз хищения. Доступ к персональным данным блокируется с помощью сертифицированных средств защиты.

4.10. Оператор не раскрывает персональные данные субъекта третьим лицам и не распространяет их без отдельного законного основания или специального согласия Пользователя.

4.11. Оператор вправе поручить обработку персональных данных другому лицу с согласия Субъекта персональных данных (Пользователя), если иное не предусмотрено законом, на основании заключаемого с этим лицом договора поручения обработки персональных данных. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». В случае, если Оператор поручает обработку персональных данных другому лицу, ответственность перед Субъектом персональных данных (Пользователем) за действия указанного лица несет Оператор. Лицо, осуществляющее обработку персональных данных по поручению Оператора, несет ответственность перед Оператором.

4.12. Обработка специальных и биометрических категорий персональных данных Оператором не допускается.

4.13. Оператор не получает и не хранит платежные реквизиты Субъектов персональных данных (Пользователей).

4.14. Трансграничная передача персональных данных не осуществляется.

5. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Пользователь принимает решение о предоставлении его персональных данных свободно, своей волей и в своем интересе.

5.2. Субъект персональных данных (Пользователь) имеет право на получение у Оператора сведений, касающихся обработки его персональных данных, если такое право не ограничено в соответствии с федеральными законами, путем направления письменного запроса по адресу, указанному в п. 4.4 настоящей Политики. Сведения предоставляются Субъекту персональных данных (Пользователю) или его представителю Оператором в течение 10 (десяти) рабочих дней с момента обращения либо получения Оператором запроса Пользователя его представителя. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления оператором в адрес Пользователя мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. Оператор предоставляет запрашиваемые сведения Пользователю или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.

5.3. В случае, если запрашиваемые сведения, а также обрабатываемые персональные данные были предоставлены для ознакомления Пользователю по его запросу, Пользователь вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений и ознакомления с такими персональными данными не ранее чем через 30 (тридцать) календарных дней после первоначального обращения или направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого является Пользователь. Пользователь вправе обратиться повторно к Оператору или направить ему повторный запрос в целях получения сведений, а также в целях ознакомления с обрабатываемыми персональными данными до истечения указанного срока в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объеме по результатам рассмотрения первоначального обращения. Повторный запрос наряду с запрашиваемыми сведениями должен содержать обоснование направления повторного запроса.

5.4. Оператор вправе отказать Пользователю в выполнении повторного запроса, не соответствующего условиям, предусмотренным законом. Такой отказ должен быть мотивированным. Обязанность представления доказательств обоснованности отказа в выполнении повторного запроса лежит на Операторе.

5.5. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными или незаконно полученными. В срок, не превышающий 7 (семи) рабочих дней со дня предоставления Пользователем или его представителем сведений, подтверждающих, что персональные данные являются неполными, неточными или неактуальными, Оператор обязан внести в них необходимые изменения. В срок, не превышающий 7 (семи) рабочих дней со дня представления субъектом персональных данных или его представителем сведений, подтверждающих, что такие персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор обязан уничтожить такие персональные данные. Оператор обязан уведомить Пользователя или его представителя о внесенных изменениях и предпринятых мерах и принять разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

5.6. Если Пользователь считает, что Оператор осуществляет обработку его персональных данных с нарушением требований законодательства или иным образом нарушает его права и свободы, Пользователь вправе обжаловать действия или бездействие Оператора в уполномоченном органе по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

5.7. Пользователь имеет право в любой момент отозвать Согласие на обработку персональных данных путем направления письменного уведомления об этом по адресу, указанному в п. 4.4 настоящей Политики. Оператор обязан обеспечить удаление персональных данных в течение 10 (десяти) рабочих дней с момента получения отзыва согласия на обработку персональных данных. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления оператором в адрес Субъекта персональных данных (Пользователя) мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации. В случае отсутствия возможности уничтожения персональных данных в течение указанного срока Оператор осуществляет блокирование таких персональных данных или обеспечивает их блокирование (если обработка персональных данных осуществляется другим лицом, действующим по поручению Оператора) и обеспечивает уничтожение персональных данных в срок не более чем 6 (шесть) месяцев, если иной срок не установлен законом.

6. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Безопасность персональных данных обеспечивается реализацией правовых, организационных и технических мер, необходимых для выполнения требований законодательства.

6.2. Оператор осуществляет обработку персональных данных с использованием средств автоматизации. Ввод в эксплуатацию новых информационных систем персональных данных производится только после выполнения процедур оценки эффективности принимаемых мер по обеспечению безопасности обрабатываемых в них персональных данных.

6.3. Для предотвращения несанкционированного доступа к персональным данным Оператором применяются следующие организационно-технические меры:

6.3.1. назначение должностных лиц, ответственных за организацию обработки и защиты персональных данных;

6.3.2. ограничение состава работников, обрабатывающих персональные данные и имеющих доступ к персональным данным при выполнении своих трудовых обязанностей, регламентация порядка предоставления такого доступа;

6.3.3. ознакомление работников с требованиями законодательства и внутренних нормативных документов Оператора по обработке и защите персональных данных;

6.3.4. определение угроз безопасности персональных данных при их обработке, формирование на их основе моделей угроз;

6.3.5. разработка на основе модели угроз системы защиты персональных данных;

6.3.6. проверка готовности и эффективности использования средств защиты информации;

6.3.7. парольная защита доступа пользователей к информационным системам персональных данных;

6.3.8. разграничение доступа пользователей к информационным ресурсам и программно-аппаратным средствам обработки информации;

6.3.9. регистрация и учет действий пользователей информационных систем персональных данных;

6.3.10. применение средств контроля доступа к коммуникационным портам, устройствам ввода-вывода информации, съёмным машинным носителям и внешним накопителям информации;

6.3.11. использование антивирусных средств и средств восстановления системы защиты персональных данных;

6.3.12. применение в необходимых случаях средств криптографической защиты информации для обеспечения безопасности персональных данных при передаче по открытым каналам связи;

6.3.13. применение межсетевого экранирования;

6.3.14. обнаружение вторжений в корпоративную сеть Оператора, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности персональных данных;

6.3.15. анализ защищённости информационных систем персональных данных Оператора с применением специализированных программных средств (сканеров безопасности);

6.3.16. централизованное управление системой защиты персональных данных;

6.3.17. резервное копирование информации;

6.3.18. обучение работников, использующих средства защиты информации, применяемые в информационных системах персональных данных, правилам работы с ними;

6.3.19. организация пропускного режима на территорию Оператора, охраны помещений с техническими средствами обработки персональных данных;

6.3.20. обеспечение взаимодействия с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование его о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) персональных данных;

6.3.21. представление в уполномоченный орган по защите прав субъектов персональных данных по запросу этого органа необходимой информации в течение 10 (десяти) рабочих дней с даты получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (пять) рабочих дней в случае направления Оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации;

6.3.22. уведомление уполномоченного органа по защите прав субъектов персональных данных в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, с момента выявления такого инцидента оператором, уполномоченным органом по защите прав субъектов персональных данных или иным заинтересованным лицом в порядке, установленном федеральным законом.

6.4. Оператор обеспечивает оперативное взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. В случае установления факта неправомерной или случайной передачи (утечки) персональных данных, повлекшей нарушение прав субъектов, Оператор обязуется уведомить Роскомнадзор в течение 24 часов о самом инциденте, и в течение 72 часов о результатах внутреннего расследования.

7. ПОРЯДОК УНИЧТОЖЕНИЯ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Персональные данные подлежат уничтожению по достижении целей обработки, при отзыве согласия Пользователем или при выявлении факта неправомерной обработки.

7.2. Уничтожение обрабатываемых персональных данных предусматривают в том числе, но не ограничиваясь, безвозвратное удаление (уничтожение) персональных данных с сервера.

7.3. Уничтожение обрабатываемых персональных данных производится в присутствии комиссии в составе трех человек (председателя и двух членов), утвержденной соответствующим локально-нормативным актом (приказом генерального директора). Уничтожение персональных данных, обрабатываемых в автоматизированном режиме в Мобильном приложении, подтверждается одновременно Актом об уничтожении персональных данных и выгрузкой из журнала учета событий (лог-файлов) в информационной системе персональных данных Оператора в соответствии с требованиями уполномоченного органа (Приказ Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»).

7.4. Уничтожение обрабатываемых персональных данных производится в следующие сроки: в случае достижения цели обработки персональных данных – в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки персональных данных; в случае отзыва субъектом персональных данных согласия на обработку его персональных данных – в срок, не превышающий 10 (десяти) рабочих дней с даты поступления указанного отзыва; в случае выявления неправомерной обработки персональных данных – в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки персональных данных.

8. ИЗМЕНЕНИЕ ПОЛИТИКИ

8.1. Настоящая Политика может быть изменена Оператором без предварительного согласия Субъекта персональных данных (Пользователя).

8.2. В случае внесения изменений в Политику конфиденциальности Оператор уведомляет Пользователя через интерфейс Мобильного приложения (push-уведомлением или баннером) до вступления изменений в силу. Новая редакция Политики вступает в силу с момента её размещения, если иное не предусмотрено новой редакцией Политики. В случае изменения целей обработки или состава персональных данных, подлежащих обработке, Оператор запрашивает согласие Пользователя повторно.

8.3. К настоящей Политике и отношениям между Субъектом персональных данных (Пользователем) и Оператором, возникающим при ее использовании, подлежит применению право Российской Федерации.

9. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

9.1. Иные права и обязанности Оператора, связанные с обработкой им персональных данных, определяются действующим законодательством РФ в области персональных данных.

9.2. Должностные лица Оператора, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую и уголовную ответственность в порядке, установленном законодательством РФ и внутренними нормативными документами Оператора.