Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок, в котором Индивидуальный предприниматель Васильев Юрий Валерьевич (далее — Оператор) обрабатывает персональные данные при работе сервиса Keypi (далее — Сервис), доступного по адресу keypi.ru, и выполняет требование части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1.2. Политика распространяется на все персональные данные, которые Оператор получает при использовании Сервиса, включая данные, поступающие из подключённых Заказчиком внешних систем.

1.3. Термины «персональные данные», «обработка», «оператор», «субъект персональных данных» используются в значениях, установленных статьёй 3 Закона № 152-ФЗ.

1.4. Действующая редакция Политики публикуется на этой странице и доступна без регистрации. Условия оказания услуг определяются публичной офертой, порядок расчётов — Правилами приёма платежей.

2. Чьи данные обрабатываются

2.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• Пользователи Сервиса — лица, создавшие учётную запись или приглашённые в организацию Заказчика;
• Представители Заказчика — лица, указанные в реквизитах организации и в документах об оплате;
• Третьи лица, чьи данные содержатся в материалах Заказчика, в сделках подключённой CRM и в заявках, поступивших с опубликованных документов Заказчика.

2.2. В отношении третьих лиц (пункт 2.1, третий абзац) Оператор действует по поручению Заказчика — порядок такой обработки описан в разделе 7.

3. Какие данные обрабатываются

3.1. При создании учётной записи и работе в Сервисе:

• адрес электронной почты и имя пользователя;
• пароль — только в виде необратимого криптографического хеша; исходный пароль Оператору неизвестен и им не хранится;
• роль в организации, факт и время подтверждения адреса электронной почты;
• сведения об организации Заказчика: наименование, ИНН, КПП, адрес — они необходимы для выставления счетов и закрывающих документов.

3.2. При оплате:

• сведения о платежах: сумма, дата, номер счёта, способ оплаты, статус, а также реквизиты плательщика — юридического лица;
• идентификатор привязки банковской карты, выданный банком-эквайером, — для повторных списаний по подписке.

3.3. Реквизиты банковских карт Оператору не передаются и им не хранятся. Номер карты, срок действия и код проверки вводятся на защищённой странице банка-эквайера и Сервису недоступны.

3.4. Содержимое, которое создаёт и загружает Заказчик:

• тексты задач, брифы и сообщения чата с агентом;
• загруженные файлы и аудиозаписи, а также результат распознавания речи из этих аудиозаписей;
• подготовленные документы, их версии и ссылки на них.

3.5. При подключении внешней CRM:

• данные сделок, компаний и контактов, необходимые для сборки документа: наименование, бюджет, имя и контактные данные представителя, вложенные к сделке файлы;
• маркеры доступа к аккаунту CRM — только в зашифрованном виде, и сведения о самом подключении: идентификатор и адрес аккаунта, состояние связи.

3.6. Заявки с опубликованных документов — имя, телефон, адрес электронной почты и сообщение, которые посетитель оставил в форме документа Заказчика.

3.7. Технические данные:

• IP-адрес, сведения о браузере и устройстве, дата и время обращений;
• записи журналов работы Сервиса, необходимые для разбора сбоев и выявления попыток неправомерного доступа;
• файлы cookie — их состав и назначение описаны в разделе 10;
• метки рекламной кампании (utm-метки, идентификаторы клика рекламных систем), адрес страницы входа и доменное имя сайта, с которого совершён переход, — если Пользователь пришёл по рекламной или партнёрской ссылке. Полный адрес перехода не сохраняется.

3.8. Специальные категории персональных данных (статья 10 Закона № 152-ФЗ) и биометрические персональные данные (статья 11) Оператор не обрабатывает и не запрашивает. Заказчику не следует загружать такие данные в Сервис.

4. Цели обработки

4.1. Персональные данные обрабатываются для следующих целей:

• заключение и исполнение договора, оказание услуг Сервиса;
• подготовка документов по заданию Заказчика — основная функция Сервиса, ради которой содержимое из раздела 3 и обрабатывается;
• расчёты, выставление счетов и оформление закрывающих документов;
• связь с пользователем: подтверждение адреса почты, восстановление доступа, уведомления о готовности документов, о состоянии баланса и подписки;
• техническая поддержка и разбор обращений;
• обеспечение безопасности, выявление и пресечение неправомерного доступа;
• исполнение обязанностей, возложенных на Оператора законодательством.

4.2. Для рекламных рассылок и профилирования персональные данные не используются. Для обучения моделей искусственного интеллекта материалы Заказчика Оператором не передаются.

5. Правовые основания

5.1. Обработка ведётся на следующих основаниях:

• договор, заключаемый присоединением к оферте, — обработка необходима для его исполнения (пункт 5 части 1 статьи 6 Закона № 152-ФЗ);
• согласие субъекта — для действий, выходящих за рамки исполнения договора, в том числе для трансграничной передачи по разделу 8;
• поручение Заказчика — для данных третьих лиц, поступающих в составе его материалов, сделок CRM и заявок (часть 3 статьи 6 Закона № 152-ФЗ);
• требования законодательства о бухгалтерском учёте, налогах и противодействии легализации доходов — для сведений о платежах.

6. Как обрабатываются данные

6.1. Обработка ведётся смешанным способом: автоматизированно и без использования средств автоматизации. Действия — сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача в объёме раздела 8, блокирование, удаление и уничтожение.

6.2. Базы данных Сервиса и хранилище файлов размещаются на серверах на территории Российской Федерации (Yandex Cloud, регион ru-central1). Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием этих баз (часть 5 статьи 18 Закона № 152-ФЗ).

6.3. Решения, порождающие юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки Оператором не принимаются.

7. Обработка по поручению Заказчика

7.1. Материалы Заказчика, данные его сделок в подключённой CRM и заявки с его документов могут содержать персональные данные третьих лиц. В отношении таких данных оператором является Заказчик, а Сервис обрабатывает их по его поручению и только для подготовки документов и передачи заявок самому Заказчику.

7.2. Заказчик обязан обеспечить наличие правового основания для передачи Оператору персональных данных третьих лиц и, если требуется, получить их согласие. Это же условие установлено разделом 8 оферты, в перечне обязанностей Заказчика.

7.3. Оператор не определяет состав и цели обработки таких данных, не использует их для собственных целей и не передаёт третьим лицам за пределами раздела 8.

7.4. Состав данных, которые Сервис читает в подключённой CRM, ограничен тем, что необходимо для сборки документа. Доступ выдаёт администратор аккаунта CRM, и он же вправе отозвать его в любой момент — отключением интеграции на своей стороне или в личном кабинете Keypi.

8. Передача третьим лицам

8.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, кроме случаев, перечисленных ниже, и случаев, предусмотренных законом.

8.2. По состоянию на дату редакции привлечены следующие обработчики:

• Yandex Cloud — размещение серверов и баз данных Сервиса, хранение файлов, доставка электронной почты и распознавание речи из загруженных аудиозаписей. Российская Федерация, регион ru-central1.
• Банк-эквайер — приём платежей и повторные списания по подписке; реквизиты карт обрабатывает на своей стороне и Оператору не передаёт. Российская Федерация.
• Поставщик доступа к моделям искусственного интеллекта — подготовка документа по заданию Заказчика. Соединённые Штаты Америки; см. пункт 8.3.

8.3. Трансграничная передача. Тексты заданий, брифов, сообщений чата и данные, из которых собирается документ, — включая сведения из подключённой CRM, — передаются поставщику доступа к моделям искусственного интеллекта, расположенному в США. Если такие материалы содержат персональные данные, они передаются на территорию иностранного государства, не обеспечивающего адекватной защиты прав субъектов персональных данных. Передача осуществляется в объёме, необходимом для выполнения задания, и с согласия субъекта либо по поручению Заказчика при наличии у него правового основания. Это единственная трансграничная передача в Сервисе.

8.4. Обработчики привлекаются на основании договоров, обязывающих их соблюдать конфиденциальность и требования к защите персональных данных. Ответственность перед субъектом за действия обработчика несёт Оператор.

8.5. Данные могут быть предоставлены государственным органам по мотивированному запросу в порядке, установленном законом.

9. Сроки хранения

9.1. Данные хранятся не дольше, чем этого требуют цели обработки:

• Учётная запись и организация — в течение действия договора и трёх лет после его прекращения (общий срок исковой давности), если законом не установлен больший срок;
• Документы, материалы и переписка с агентом — до удаления Заказчиком. Промежуточные рабочие копии удаляются автоматически по сроку, установленному тарифным планом;
• Сведения о платежах и закрывающие документы — пять лет, как того требует законодательство о бухгалтерском учёте;
• Маркеры доступа к внешней CRM — до отключения интеграции; при отключении стираются немедленно;
• Журналы работы Сервиса — не более двенадцати месяцев.

9.2. По достижении целей обработки, при отзыве согласия или по требованию субъекта данные удаляются или обезличиваются в срок, не превышающий тридцати дней, за исключением сведений, которые Оператор обязан хранить по закону.

10. Файлы cookie

10.1. Сервис использует только технически необходимые файлы cookie: они хранят идентификатор сессии, то есть удерживают вход. Cookie сессии недоступны сценариям страницы и передаются только по защищённому соединению.

10.2. На страницах Сервиса размещён счётчик Яндекс.Метрики (оператор — ООО «ЯНДЕКС», Российская Федерация). Он устанавливает свои файлы cookie и передаёт Яндексу сведения о посещении: IP-адрес, данные браузера и устройства, просмотренные страницы, источник перехода и метки рекламной кампании. Цель — измерять посещаемость, понимать, какие страницы работают, и оценивать отдачу от рекламы. Обработка на стороне Яндекса регулируется его собственными документами, размещёнными на yandex.ru/legal.

10.3. На публичных страницах Сервиса счётчик дополнительно записывает действия посетителя (движение указателя, прокрутка, клики) — это нужно, чтобы видеть, где страница непонятна. В личном кабинете такая запись не ведётся: там на экране содержимое документов Заказчика, и передавать его третьему лицу Оператор не вправе.

10.4. На страницах документов, открываемых Клиентами Заказчика по публичной ссылке, счётчики не размещены: посетитель таких страниц не состоит с Оператором в отношениях и согласия ему не давал.

10.5. Отказаться от аналитических cookie можно средствами браузера — запретом cookie сторонних сайтов или установкой блокировщика Яндекс.Метрики. На работу Сервиса это не влияет.

10.6. Запрет технически необходимых cookie в браузере делает вход в Сервис невозможным — это единственное последствие отказа.

11. Защита данных

11.1. Оператор принимает меры, предусмотренные статьёй 19 Закона № 152-ФЗ, в том числе:

• передача данных между браузером и Сервисом только по защищённому соединению;
• хранение паролей в виде необратимого хеша, а маркеров доступа к внешним системам и ссылок на документы — в зашифрованном виде;
• разграничение доступа по ролям внутри организации Заказчика и ограничение доступа сотрудников Оператора к данным клиентов;
• изоляция опубликованных документов от данных Сервиса, отзыв публичной ссылки в один шаг;
• журналирование действий и контроль попыток неправомерного доступа.

11.2. Ни одна мера не даёт абсолютной гарантии. Обнаружив признаки неправомерного доступа к учётной записи, сообщите об этом по адресу из раздела 14 — доступ будет заблокирован.

12. Права субъекта персональных данных

12.1. Субъект вправе:

• получить сведения об обработке своих персональных данных (статья 14 Закона № 152-ФЗ);
• требовать уточнения, блокирования или уничтожения неполных, устаревших или неточных данных;
• отозвать согласие на обработку;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

12.2. Запрос направляется по адресу электронной почты из раздела 14 и должен содержать сведения, позволяющие установить личность обратившегося и его отношение к запрашиваемым данным. Ответ предоставляется в срок, не превышающий десяти рабочих дней с даты получения запроса; срок может быть продлён не более чем на пять рабочих дней с уведомлением о причинах.

12.3. Часть прав реализуется без обращения к Оператору: имя и адрес почты правятся в профиле, материалы и документы удаляются в рабочей области, интеграция с CRM отключается в разделе «Интеграции», учётная запись и организация удаляются по обращению в поддержку.

12.4. Если персональные данные субъекта попали в Сервис в составе материалов Заказчика, сделок его CRM или заявок с его документов, обращение направляется Заказчику как оператору этих данных. Получив такое обращение, Оператор передаст его Заказчику и по его поручению удалит данные.

13. Отзыв согласия

13.1. Согласие отзывается письмом на адрес из раздела 14. Отзыв согласия не прекращает обработку, которая необходима для исполнения договора, для соблюдения требований закона или для защиты прав Оператора при рассмотрении спора.

13.2. После отзыва согласия и прекращения договора данные удаляются или обезличиваются в порядке раздела 9.

14. Изменения Политики и контакты

14.1. Оператор вправе изменять Политику. Новая редакция публикуется на этой странице и вступает в силу со дня публикации; дата редакции указана в начале документа.

14.2. Вопросы об обработке персональных данных, запросы и отзывы согласия направляются по адресам ниже.

Оператор

Индивидуальный предприниматель Васильев Юрий Валерьевич

ИНН

540860170414

ОГРН

319547600172873

Адрес

Новосибирск

Электронная почта

support@keypi.ru

Телефон

+79130078744