Политика обработки персональных данных

Редакция от дата вступления в силу — проставить в день публикации

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных пользователей программного продукта «Flexent» (далее — ПО, Программа) и сайта https://flexent.site (далее — Сайт), включая личный кабинет пользователя и лицензионный сервер.

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и иными нормативными правовыми актами Российской Федерации в области обработки персональных данных.

1.3. Политика применяется ко всем персональным данным, которые Оператор получает от пользователей при создании учётной записи, при использовании личного кабинета и при работе Программы, связанной с проверкой лицензии.

1.4. Действующая редакция Политики постоянно доступна по адресу https://flexent.site/privacy.html.

2. Термины и определения

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу (субъекту персональных данных).

2.2. Оператор — лицо, самостоятельно организующее и осуществляющее обработку персональных данных, а также определяющее цели обработки, состав обрабатываемых данных и совершаемые с ними действия. Реквизиты Оператора указаны в разделе 3.

2.3. Обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение.

2.4. Пользователь — физическое лицо, которому Оператор предоставил доступ к Программе и личному кабинету, либо работник (представитель) юридического лица, использующий Программу на основании лицензии, приобретённой этим юридическим лицом.

2.5. Учётная запись — совокупность данных о Пользователе в системе Оператора, обеспечивающая его авторизацию и доступ к Программе.

2.6. Программа «Flexent» — программа для ЭВМ, работающая в среде AutoCAD и nanoCAD и предназначенная для автоматизации проектирования систем автоматизации технологических процессов (АСУ ТП).

2.7. Лицензионный сервер — комплекс Оператора, обеспечивающий выдачу и проверку лицензий, учёт рабочих мест (устройств) и связь с установленными экземплярами Программы.

2.8. Аппаратный отпечаток — набор технических характеристик компьютера Пользователя, используемый исключительно для того, чтобы отличить одно рабочее место от другого. Сам отпечаток Оператору не передаётся и не хранится: Программа вычисляет от него необратимую криптографическую свёртку (хэш SHA-256), и на сервер передаётся только этот хэш.

3. Оператор персональных данных

3.1. Оператором персональных данных является:

• Индивидуальный предприниматель Сапогов Павел Александрович
• ОГРНИП: заполнить после регистрации
• ИНН: заполнить
• Адрес (для корреспонденции): заполнить
• Электронная почта для обращений по персональным данным: privacy@flexent.site

3.2. Обязанности по организации обработки персональных данных исполняет сам Оператор; отдельное ответственное лицо не назначается, поскольку Оператор осуществляет деятельность без привлечения работников.

4. Какие персональные данные обрабатываются

4.1. Оператор обрабатывает только те данные, которые необходимы для предоставления доступа к Программе и контроля лицензии. Перечень является исчерпывающим.

4.2. Данные учётной записи:

• адрес электронной почты;
• фамилия, имя, отчество (указываются Оператором при создании учётной записи по данным, предоставленным Пользователем или организацией-заказчиком);
• хэш пароля (сам пароль в открытом виде не хранится и Оператору не известен, применяется алгоритм BCrypt);
• дата создания учётной записи;
• признак наличия у учётной записи прав администратора.

4.3. Данные о подписке (лицензии): наименование тарифного плана; статус подписки (активна, приостановлена, истекла); допустимое количество рабочих мест; допустимое количество дней автономной (офлайн) работы; дата окончания срока действия.

4.4. Данные о рабочем месте (устройстве): хэш аппаратного отпечатка компьютера (SHA-256; сам отпечаток не хранится); имя компьютера; статус устройства; дата активации; дата и время последней связи с лицензионным сервером.

4.5. Технические данные веб-сервера: журналы (логи) обращений к Сайту и лицензионному серверу, включая IP-адреса, дату и время обращения, служебную информацию о запросах и ошибках.

4.6. Данные на компьютере Пользователя (Оператору не передаются и на сервере не хранятся): файл лицензии license.dat, содержащий лицензионный ключ, адрес электронной почты Пользователя и дату окончания действия лицензии.

4.7. Оператор не обрабатывает специальные категории персональных данных, биометрические персональные данные, а также данные о платежах и банковских картах.

4.8. Оператор не запрашивает содержимое проектов, чертежей и иных рабочих файлов Пользователя. Данные проекта хранятся в файлах DWG на стороне Пользователя и на сервер Оператора в ходе обычной работы Программы не передаются.

4.9. Отчёт о проблеме (обращение в поддержку). Единственный случай, когда рабочие файлы могут попасть к Оператору, — отчёт об ошибке, который Пользователь отправляет по собственной инициативе.

• Отчёт формируется и отправляется только по прямому действию Пользователя — нажатию кнопки «Отчёт о проблеме» в Программе. Автоматической, фоновой или скрытой отправки чего-либо Программа не выполняет.
• Перед отправкой Программа показывает состав отчёта: текст описания проблемы, журнал работы Программы, снимки экрана (если Пользователь их приложил) и, при согласии Пользователя, текущий чертёж. Приложение чертежа — отдельная отметка, которую Пользователь может снять, и отчёт будет отправлен без него.
• Отчёт может содержать также: адрес электронной почты Пользователя, версию Программы и AutoCAD, имя компьютера и имя учётной записи операционной системы, имя файла чертежа, аппаратный отпечаток рабочего места.
• Цель — исключительно устранение той неисправности, о которой сообщил Пользователь. Для иных целей содержимое отчётов не используется: не анализируется в маркетинговых целях, не используется для обучения каких-либо моделей, не передаётся третьим лицам.
• Ответственность Пользователя. Чертёж может содержать сведения, составляющие коммерческую тайну заказчика Пользователя или иную охраняемую законом информацию. Оператор не имеет возможности определить это по содержимому файла. Если приложение чертежа недопустимо — Пользователь обязан снять соответствующую отметку перед отправкой либо направить описание проблемы без вложений. Отправляя отчёт с приложенным чертежом, Пользователь подтверждает, что вправе его передать.
• Отчёты хранятся в закрытом хранилище Оператора, по сети не публикуются и не раздаются, доступны только Оператору, и удаляются автоматически: через 14 (четырнадцать) календарных дней после завершения рассмотрения обращения, но в любом случае не позднее 90 (девяноста) дней с момента получения (см. п. 7.5).

5. Цели обработки

5.1. Персональные данные обрабатываются исключительно в следующих целях:

• предоставление доступа к Программе и личному кабинету, идентификация и аутентификация Пользователя;
• рассмотрение обращений Пользователя и устранение неисправностей Программы, о которых Пользователь сообщил, — в объёме сведений, которые Пользователь приложил к своему обращению (п. 4.9);
• выдача, проверка и продление лицензии, контроль количества рабочих мест и соблюдения условий лицензии, включая допустимый срок автономной работы;
• информирование об обновлениях Программы и существенных изменениях в её работе;
• оказание технической поддержки, обработка обращений и сообщений об ошибках;
• обеспечение работоспособности и безопасности Сайта и лицензионного сервера, выявление и расследование сбоев и неправомерных обращений (для данных пункта 4.5).

5.2. Оператор не осуществляет: рекламные и маркетинговые рассылки; передачу данных третьим лицам в коммерческих целях; профилирование и автоматизированное принятие решений, порождающих юридические последствия; обработку в целях таргетированной рекламы; сбор аналитики о поведении посетителей (Яндекс.Метрика, Google Analytics и подобные счётчики на Сайте не установлены).

6. Правовые основания обработки

6.1. Правовыми основаниями обработки являются:

• договор (лицензионное соглашение, публичная оферта), стороной которого является субъект персональных данных, — обработка необходима для исполнения этого договора;
• согласие субъекта — когда данные предоставляются добровольно (например, при обращении в поддержку);
• законные интересы Оператора по обеспечению работоспособности и безопасности сервисов — в части технических журналов;
• исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.

6.2. Если учётная запись создаётся по заявке организации-работодателя Пользователя, Оператор исходит из того, что такая организация правомерно получила и передала данные своего работника и уведомила его об обработке. Организация, направившая заявку, заверяет Оператора в наличии у неё правовых оснований для такой передачи и несёт ответственность за их отсутствие.

7. Порядок и сроки обработки, хранение

7.1. Обработка осуществляется смешанным способом: с использованием средств автоматизации и без них.

7.2. Данные учётной записи и подписки хранятся в течение срока действия учётной записи и 3 (три) года после её удаления или прекращения подписки, если иной срок не установлен законодательством или не требуется для разрешения спора.

7.3. Данные о рабочих местах хранятся в течение срока действия лицензии и удаляются либо обезличиваются в течение 90 (девяноста) дней после отключения устройства.

7.4. Технические журналы хранятся 90 (девяносто) дней, после чего удаляются или обезличиваются, кроме случаев расследования инцидента безопасности или защиты прав Оператора.

7.5. Отчёты о проблемах (п. 4.9), включая приложенные к ним чертежи, журналы и снимки экрана, хранятся до завершения рассмотрения обращения и удаляются автоматически через 14 (четырнадцать) календарных дней после его завершения. Если рассмотрение по каким-либо причинам не завершено, срок хранения отчёта в любом случае не превышает 90 (девяноста) календарных дней с момента его получения, по истечении которых отчёт удаляется. Удаление производится вместе со всеми вложениями, выполняется автоматически и не требует обращения Пользователя. Пользователь вправе потребовать удалить свой отчёт раньше указанных сроков, обратившись к Оператору (раздел 11).

7.6. Данные подлежат уничтожению или обезличиванию по достижении целей обработки, при отзыве согласия (если обработка велась на основании согласия и отсутствует иное правовое основание), а также в иных предусмотренных законом случаях.

7.7. Место обработки и хранения данных: серверное оборудование, арендуемое Оператором в центре обработки данных на территории Российской Федерации (город Москва). Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации, что соответствует части 5 статьи 18 Федерального закона № 152-ФЗ.

8. Передача третьим лицам и трансграничная передача

8.1. Оператор не продаёт, не сдаёт в аренду и не передаёт персональные данные третьим лицам в маркетинговых или иных коммерческих целях.

8.2. Данные могут быть предоставлены третьим лицам только: по мотивированному запросу государственных органов в установленных законом порядке и объёме; для защиты прав и законных интересов Оператора — в необходимом для этого объёме.

8.3. Техническая инфраструктура. Сайт и лицензионный сервер размещены на серверном оборудовании, арендуемом Оператором у российского хостинг-провайдера в центре обработки данных на территории Российской Федерации. Соединение между устройством Пользователя и сервером устанавливается напрямую по защищённому протоколу HTTPS, без промежуточных сервисов-туннелей и без участия иностранных провайдеров. Сторонние сервисы аналитики, рекламные сети и внешние шрифтовые сервисы на Сайте не подключены.

8.4. Трансграничная передача персональных данных не осуществляется. Персональные данные не передаются за пределы территории Российской Федерации.

9. Меры защиты

9.1. Оператор принимает правовые, организационные и технические меры защиты, в том числе:

• пароли не хранятся в открытом виде — только необратимая криптографическая свёртка (BCrypt);
• аппаратный отпечаток компьютера не хранится — только его хэш (SHA-256), по которому невозможно восстановить характеристики устройства;
• доступ к личному кабинету — по токену авторизации с ограниченным сроком действия;
• обмен данными между Программой, Сайтом и сервером — по защищённому протоколу HTTPS;
• доступ к серверу и базе данных ограничен;
• ведётся резервное копирование;
• объём собираемых данных сведён к минимально необходимому.

9.2. Пользователь обязан обеспечивать конфиденциальность своих учётных данных. Оператор не несёт ответственности за последствия доступа третьих лиц к учётной записи, произошедшего по вине Пользователя.

10. Права субъекта персональных данных

10.1. Пользователь вправе: получать сведения об обработке своих данных; требовать их уточнения, блокирования или уничтожения, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели; отозвать согласие (в части данных, обрабатываемых на основании согласия); обжаловать действия Оператора в уполномоченный орган или в суд; осуществлять иные права, предусмотренные законодательством.

10.2. Самостоятельно в личном кабинете Пользователь может изменить пароль, а также отключить ранее активированное рабочее место. Изменение прочих данных (адреса электронной почты, фамилии, имени и отчества), а также удаление учётной записи — по обращению к Оператору в порядке раздела 11.

10.3. Отзыв согласия или требование об уничтожении данных учётной записи влечёт невозможность дальнейшего использования Программы, поскольку эти данные необходимы для проверки лицензии.

11. Порядок обращения к Оператору

11.1. Обращения направляются на адрес privacy@flexent.site или на почтовый адрес Оператора из раздела 3.

11.2. Обращение должно содержать: ФИО субъекта; сведения, подтверждающие его отношения с Оператором (например, email учётной записи); суть требования; подпись (для письменных обращений). Оператор вправе запросить дополнительные сведения для идентификации заявителя, чтобы не раскрыть данные постороннему лицу.

11.3. Ответ направляется в срок, установленный законодательством, а при отсутствии установленного срока — в течение 30 (тридцати) дней с даты получения обращения.

12. Изменение Политики

12.1. Оператор вправе вносить изменения. Новая редакция вступает в силу с момента размещения по адресу из пункта 1.4, если иной срок не указан в самой редакции.

12.2. При существенном изменении условий обработки Оператор дополнительно уведомляет Пользователей по адресу электронной почты учётной записи.

12.3. Продолжение использования Сайта и Программы после вступления изменений в силу означает согласие с новой редакцией, за исключением случаев, когда закон требует отдельного согласия.