1. Общие положения
Настоящая Политика определяет порядок обработки и защиты персональных данных, которые Бюро Х / BUREAU X получает при использовании сайта bureau-x.ru, его форм, Конструктора, генератора брифа, встроенного оператора и иных связанных функций сайта.
Политика опубликована во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных". Оператор руководствуется принципами законности, ограничения обработки конкретными целями, минимизации состава данных, точности данных и ограничения сроков хранения, предусмотренными статьей 5 Федерального закона № 152-ФЗ.
Статья 18.1 Федерального закона № 152-ФЗ · Текст Федерального закона № 152-ФЗ
2. Сведения об операторе
Оператор персональных данных: Бюро Х / BUREAU X. Электронная почта для запросов субъектов персональных данных и обращений по вопросам конфиденциальности: info@bureau-x.ru.
Оператор самостоятельно определяет цели обработки персональных данных и несет ответственность за соблюдение требований законодательства Российской Федерации в пределах осуществляемой им обработки.
3. Категории субъектов
Оператор может обрабатывать данные следующих категорий субъектов:
- посетители сайта;
- лица, направившие заявку, бриф, файл или иное обращение через сайт;
- лица, использующие встроенного оператора;
- представители компаний и индивидуальных предпринимателей, обращающиеся по вопросам услуг BUREAU X;
- клиенты и потенциальные клиенты, если взаимодействие началось по их инициативе.
4. Какие персональные данные обрабатываются
При отправке форм и брифов: имя, компания или сфера деятельности, контакт для связи, выбранное направление, описание задачи, ответы в формах и Конструкторе, сведения о проекте, а также файлы и их технические метаданные, которые пользователь добровольно прикладывает.
При использовании встроенного оператора: сохраняются отправленные пользователем сообщения и ответы консультанта, тема и контекст диалога, адрес страницы, на которой велся диалог, псевдонимизированный технический идентификатор устройства или сессии.
Для безопасности и учета источника обращения: дата и время события, адрес страницы, реферер, UTM-метки при наличии, псевдонимизированный хеш IP-адреса и хеш User-Agent. Технические журналы веб-сервера также могут содержать IP-адрес, дату и время запроса, запрошенный путь, код ответа и сведения о клиентском программном обеспечении в пределах настроек серверного журналирования.
При согласии на веб-аналитику: технические идентификаторы, cookie, сведения об устройстве и браузере, действия на страницах и иные данные посещения, предусмотренные настройками Яндекс Метрики. Имя, телефон, email, содержание заявки, файлов и переписки с оператором в Метрику целенаправленно не передаются.
Оператор не ставит целью обработку специальных категорий персональных данных по статье 10 Федерального закона № 152-ФЗ и биометрических персональных данных по статье 11. Не следует отправлять через сайт паспортные данные, данные банковских карт, пароли, медицинские сведения и иные чувствительные данные, если их предоставление прямо не согласовано и не имеет отдельного законного основания.
5. Цели и правовые основания
Обработка заявок, брифов и приложенных файлов. Цель: ответить на обращение, уточнить задачу, подготовить предложение или материалы по запросу. Основание: отдельное согласие пользователя, пункт 1 части 1 статьи 6 и статья 9 Федерального закона № 152-ФЗ.
Переговоры и договорные отношения. Если пользователь обращается с намерением заказать услугу, часть данных может обрабатываться для заключения договора по инициативе субъекта и исполнения договора на основании пункта 5 части 1 статьи 6 Федерального закона № 152-ФЗ.
Встроенный оператор. Цель: дать ответ на вопрос пользователя, сохранить контекст инициированного им диалога и, при его желании, связать диалог с заявкой. Правовое основание определяется характером обращения: пункт 5 части 1 статьи 6 для действий по инициативе субъекта, направленных на возможное заключение договора, а для обеспечения работоспособности, предотвращения злоупотреблений и защиты законных интересов оператора также пункт 7 части 1 статьи 6 при условии, что права и свободы субъекта не нарушаются.
Безопасность сайта и доказательство правомерности обработки. Цель: защита от спама, атак и злоупотреблений, расследование инцидентов, фиксация факта согласия. Основание: исполнение обязанностей оператора по статьям 18.1 и 19 Федерального закона № 152-ФЗ, а также законный интерес оператора в защите информационной системы и своих прав в пределах пункта 7 части 1 статьи 6.
Веб-аналитика. Яндекс Метрика и внутренняя аналитика событий включаются только после отдельного разрешения пользователя на аналитические cookie. Основание: согласие пользователя по пункту 1 части 1 статьи 6 и статье 9 Федерального закона № 152-ФЗ.
Статья 6 Федерального закона № 152-ФЗ · Статья 9 Федерального закона № 152-ФЗ
6. Порядок и способы обработки
Обработка осуществляется смешанным способом, с использованием автоматизированных информационных систем и без использования средств автоматизации. В зависимости от цели оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа лицам, действующим по поручению оператора, блокирование, удаление и уничтожение данных.
Оператор не осуществляет распространение персональных данных пользователей неопределенному кругу лиц. Доступ к персональным данным предоставляется только в пределах необходимости для конкретной цели обработки, исполнения требований закона или работы привлеченного обработчика.
7. Локализация и место хранения
При первичном сборе через формы и сервисы сайта запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием базы данных, находящейся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Федерального закона № 152-ФЗ.
Файлы, прикладываемые к заявкам, хранятся в закрытом файловом хранилище сайта и не публикуются как общедоступные материалы.
8. Передача и поручение обработки
Оператор вправе поручать обработку поставщикам серверной, сетевой, резервной и иной технической инфраструктуры при наличии предусмотренных законом оснований и условий. Такие лица получают доступ только в объеме, необходимом для оказания соответствующей услуги, и должны соблюдать конфиденциальность и требования к безопасности персональных данных.
Серверная инфраструктура сайта размещена у ООО "ТАЙМВЭБ.КЛАУД", ИНН 7810945525, ОГРН 1227800052215, юридический адрес: 420500, Республика Татарстан, г. Иннополис, ул. Университетская, д. 7, оф. 605. В той части, в которой поставщик инфраструктуры получает доступ к персональным данным по поручению оператора, к такой обработке применяются требования части 3 статьи 6 Федерального закона № 152-ФЗ.
При включении аналитики используется сервис Яндекс Метрика, предоставляемый ООО "ЯНДЕКС", 119021, Россия, г. Москва, ул. Льва Толстого, д. 16. Согласно пункту 5.4 действующих Условий использования Метрики, в отношении данных посетителей сайта оператор остается оператором персональных данных, а Яндекс действует по поручению оператора в смысле части 3 статьи 6 Федерального закона № 152-ФЗ.
Сайт не передает в Telegram имя, телефон, email, текст заявки, содержимое брифа, приложенных файлов или переписки с встроенным оператором для целей служебного уведомления. Если Telegram-уведомления включены в административной части, внешнему сервису передается только техническое уведомление о появлении новой заявки или диалога и ссылка на защищенный раздел DESK без персональных данных клиента.
9. Cookie и веб-аналитика
Необходимые cookie используются для сохранения выбора пользователя по аналитике и обеспечения отдельных функций сайта. Яндекс Метрика не загружается до нажатия пользователем кнопки разрешения статистики.
Если пользователь разрешает аналитику, Метрика может обрабатывать сведения об активности на сайте, cookie, данные об устройстве, браузере и операционной системе. Полный состав, сроки и способ изменения выбора описаны в Политике использования cookie и веб-аналитики.
Поля, в которые пользователь вводит данные, принудительно помечаются на сайте как недоступные для записи содержимого Вебвизором. Формы также исключаются из анализа их содержимого средствами разметки Яндекс Метрики.
10. Сроки обработки и уничтожение
Персональные данные обрабатываются не дольше, чем это необходимо для соответствующей цели, если иной срок не установлен законом, договором или иным законным основанием. После достижения цели оператор прекращает обработку и уничтожает данные не позднее срока, установленного частью 4 статьи 21 Федерального закона № 152-ФЗ, как правило в течение 30 дней.
При отзыве согласия данные, для которых отсутствует иное основание обработки, прекращают обрабатываться и уничтожаются в срок, предусмотренный частью 5 статьи 21. При требовании субъекта прекратить обработку оператор действует в сроки и с учетом исключений части 5.1 статьи 21.
Внутренние аналитические события сайта хранятся не более 90 дней и затем удаляются автоматически. Отдельная минимальная запись, подтверждающая согласие на аналитику и содержащая только хеш случайного идентификатора сессии, время, выбор и версию документа, может храниться до 3 лет для исполнения обязанности оператора доказать факт согласия по части 3 статьи 9 Федерального закона № 152-ФЗ и защиты законных интересов оператора. Резервные копии выводятся из активной обработки и уничтожаются в пределах установленного оператором цикла ротации резервных копий. Если резервная копия восстанавливается до истечения этого цикла, требования об удалении применяются повторно к восстановленным данным.
11. Защита персональных данных
Оператор принимает правовые, организационные и технические меры, соразмерные характеру обработки и актуальным рискам. На сайте применяются разграничение административного доступа, HTTPS, защита административных сессий, ограничение частоты запросов, защита форм от подделки запросов, серверная валидация, ограничения на тип и размер загружаемых файлов, непубличное хранение вложений, псевдонимизация технических идентификаторов, журналирование административных действий и резервное копирование.
При выявлении инцидента, повлекшего нарушение прав субъектов персональных данных, оператор выполняет обязанности по уведомлению уполномоченного органа в сроки, предусмотренные частью 3.1 статьи 21 Федерального закона № 152-ФЗ.
12. Права субъекта персональных данных
Субъект вправе получать сведения об обработке своих персональных данных, требовать их уточнения, блокирования или уничтожения при наличии предусмотренных законом оснований, отзывать ранее данное согласие, требовать прекращения обработки, а также обжаловать действия или бездействие оператора в Роскомнадзор или в суд.
Запрос направляется на info@bureau-x.ru. Для поиска данных оператор вправе запросить сведения, позволяющие подтвердить, к какому субъекту и обращению относится запрос, но не будет требовать избыточные данные, не необходимые для идентификации обращения.
Статья 14 Федерального закона № 152-ФЗ · Статья 20 Федерального закона № 152-ФЗ
13. Рекламные коммуникации
Контакт, оставленный в заявке, используется для ответа по существу обращения. Согласие на обработку персональных данных в форме не считается согласием на рекламные рассылки или рекламные звонки. Если оператору потребуется использовать контакт для прямого продвижения услуг, для этого должно быть получено отдельное предварительное согласие в соответствии со статьей 15 Федерального закона № 152-ФЗ и статьей 18 Федерального закона № 38-ФЗ "О рекламе".
Статья 15 Федерального закона № 152-ФЗ · Статья 18 Федерального закона № 38-ФЗ
14. Данные третьих лиц в файлах и сообщениях
Если пользователь передает через сайт документ, таблицу, сообщение или иной материал, содержащий персональные данные другого человека, пользователь должен иметь законное основание для такой передачи. Не следует направлять оператору данные третьих лиц, которые не нужны для рассмотрения задачи. Оператор вправе удалить избыточные данные или запросить материал без них.
15. Изменение Политики
Актуальная редакция постоянно размещена по адресу bureau-x.ru/privacy. При изменении состава данных, целей, способов обработки, используемых сервисов или требований законодательства Политика обновляется, а в документе указывается новая версия.