Политика обработки персональных данных

Документ является официальной политикой Оператора ПДн в смысле п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

1. Общие положения

1.1. Оператор: Индивидуальный предприниматель Карзаков Дмитрий Евгеньевич (далее — «Оператор»).

• ОГРНИП: 323210000003205
• ИНН: 213011377800
• Email: legal@novalead.ru

1.2. Ответственное лицо за организацию обработки ПДн: ИП Карзаков Д.Е. лично.

1.3. Политика применяется ко всем персональным данным, обрабатываемым Оператором с использованием средств автоматизации и без их использования.

1.4. Действие Политики распространяется на ПДн: клиентов и потенциальных клиентов Оператора; контрагентов и их представителей; работников (при наличии); посетителей сайтов novalead.ru, nvisit.ru, admin.novalead.ru, nhype.ru, hype.novalead.ru.

1.5. Политика является единой для всех сервисов Оператора. Отдельные условия предоставления каждого сервиса определяются соответствующей публичной офертой: NovaLead — https://novalead.ru/terms, NHype — https://nhype.ru/terms.

2. Правовые основания

• Конституция РФ;
• Гражданский кодекс РФ;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановление Правительства РФ от 01.11.2012 № 1119;
• Приказ ФСТЭК России от 18.02.2013 № 21;
• Приказ Роскомнадзора от 24.02.2021 № 18;
• иные нормативные правовые акты РФ в области ПДн.

3. Цели обработки

Оператор обрабатывает ПДн в следующих целях:

1. заключение, исполнение и прекращение гражданско-правовых договоров с клиентами, контрагентами;
2. предоставление доступа к сервисам Оператора (NovaLead, NVisit, NHype) и их функциям;
3. оказание технической поддержки;
4. приём и проведение платежей, выставление счетов и актов;
5. направление транзакционных и (с отдельного согласия) маркетинговых уведомлений;
6. обеспечение информационной безопасности (анти-фрод, защита от атак, расследование инцидентов);
7. ведение обязательного бухгалтерского и налогового учёта;
8. ответы на обращения субъектов ПДн и госорганов;
9. исполнение функций лица, обрабатывающего ПДн по поручению Операторов-клиентов (на условиях DPA.md).

4. Категории субъектов и обрабатываемых ПДн

4.1. Посетители сайтов

IP-адрес, cookie, User-Agent, данные о посещённых страницах, UTM-метки, данные форм обратной связи (имя, email, телефон, текст).

4.2. Зарегистрированные пользователи (клиенты Сервиса)

ФИО, email, номер телефона, пароль (хеш argon2id), реквизиты ИП/юрлица (ИНН, ОГРН, КПП, адрес — при добавлении), платёжные реквизиты (токенизированы у провайдера), маскированные сведения о карте, IP и user-agent при входе, журналы действий в ЛК.

4.3. Конечные клиенты (клиенты клиентов Оператора)

ID в каналах связи, имя, телефон, email (при добровольной передаче), содержимое сообщений и вложений, данные записей NVisit, данные loyalty-программ, IP и user-agent для виджета.

В отношении этой категории Оператор действует по поручению соответствующего Клиента в порядке ч. 3 ст. 6 152-ФЗ (см. DPA.md).

4.4. Пользователи сервиса NHype

ФИО или имя, email, номер телефона (при добровольном указании), пароль (хеш argon2id), IP и user-agent при входе, журналы действий, загруженные пользователем материалы (тексты, изображения, видео- и аудиозаписи) и созданные им результаты. Изображения и голоса лиц, попавших в загруженные пользователем материалы, обрабатываются исключительно в целях выполнения технических операций по заданию пользователя; наличие согласий таких лиц обеспечивает пользователь (см. https://nhype.ru/terms, п. 8.3).

4.5. Авторы публично доступных публикаций (сервис NHype)

При использовании функции анализа источников Оператор обрабатывает сведения, содержащиеся в публично доступных публикациях, указанных пользователем: идентификатор публичного аккаунта, ссылку на публикацию, время наблюдения, доступные публичные метрики и обезличенное описание приёма подачи материала.

Правовое основание — п. 7 ч. 1 ст. 6 152-ФЗ (законные интересы Оператора при условии ненарушения прав и свобод субъекта). Профили авторов, их контактные данные, фотографии и медиафайлы публикаций на постоянной основе не сохраняются, каталог авторов не формируется, сведения третьим лицам не передаются. Порядок обработки и прекращения обработки по обращению автора — https://nhype.ru/legal/sources.

4.6. Контрагенты и их представители

ФИО, должность, контактные данные, банковские реквизиты — в объёме, необходимом для исполнения договоров.

4.7. Специальные категории и биометрические ПДн

Не обрабатываются, кроме случаев, когда Клиент NovaLead использует Сервис в регулируемой сфере и самостоятельно получил необходимые согласия и правовые основания. В таком случае NovaLead действует только как лицо, обрабатывающее данные по поручению Клиента.

5. Правовые основания обработки

• ч. 1 ст. 6 п. 1 152-ФЗ — согласие субъекта;
• ч. 1 ст. 6 п. 2, 3 — исполнение требований законодательства и судебных актов;
• ч. 1 ст. 6 п. 5 — исполнение договора, стороной которого является субъект;
• ч. 1 ст. 6 п. 7 — законные интересы Оператора;
• ч. 3 ст. 6 — поручение обработки.

Если основанием является согласие, оно оформляется отдельным явным действием субъекта: электронной отметкой, нажатием кнопки подтверждения или иной зафиксированной формой, позволяющей подтвердить конкретность, информированность и однозначность согласия. Согласие на обработку ПДн не включается в текст оферты или иные согласия как скрытое условие.

6. Меры защиты

6.1. Правовые

• утверждение настоящей Политики и локальных актов;
• включение Оператора в реестр операторов персональных данных Роскомнадзора и поддержание сведений в актуальном состоянии;
• заключение NDA с лицами, имеющими доступ к ПДн;
• включение требований о защите ПДн в договоры с контрагентами.

6.2. Организационные

• принцип минимальных привилегий при предоставлении доступа;
• регламент реагирования на инциденты;
• ежегодный внутренний аудит мер защиты;
• ведение журналов доступа и действий.

6.3. Технические (уровень защищённости УЗ-3 по 1119-ПП и 21-приказу ФСТЭК)

• шифрование конфиденциальных секретов в БД (AES-256-GCM);
• передача данных по TLS 1.2+ с HSTS;
• хеширование паролей argon2id;
• HMAC-подпись публичных эндпоинтов виджета;
• rate limiting и защита от перебора;
• изолированные сегменты сети (Docker networks), firewall;
• регулярное обновление ПО и зависимостей;
• мониторинг и журналирование инцидентов;
• резервное копирование с шифрованием;
• уничтожение носителей с ПДн при выводе из эксплуатации.

7. Условия передачи ПДн

Передача третьим лицам осуществляется только:

• с согласия субъекта;
• в рамках исполнения договоров;
• по законным требованиям госорганов.

Актуальный перечень третьих лиц, привлечённых к обработке — см. DPA.md, раздел 5.

Категории лиц, привлекаемых к обработке в сервисе NHype: поставщик вычислительной инфраструктуры (РФ), поставщик услуг синтеза речи (РФ), поставщик услуг сбора публично доступных данных, платёжный провайдер (РФ), сервис отправки транзакционных писем (РФ). Каждое такое лицо обрабатывает данные по поручению Оператора в объёме, необходимом для соответствующей операции.

8. Трансграничная передача

Оператор не осуществляет трансграничную передачу ПДн по собственной инициативе. Основные серверы и базы данных размещаются на территории Российской Федерации.

В сервисе NHype действует технический принцип: во внешние сервисы, расположенные за пределами Российской Федерации, передаётся только текстовое описание, сформированное самим сервисом. Материалы пользователей, изображения и видеозаписи с участием людей, а также медиафайлы публично доступных источников за пределы Российской Федерации не передаются. Изменение этого принципа возможно только после направления уведомления в Роскомнадзор в порядке ч. 3 ст. 12 152-ФЗ до начала передачи и соответствующего изменения настоящей Политики.

Исключение: при добровольном обращении Конечного клиента через Telegram, VK, MAX, зарубежный email/SMS-провайдер или иные внешние каналы сообщения могут проходить через инфраструктуру соответствующих платформ в рамках их собственных правил и политик. Клиент NovaLead как Оператор ПДн самостоятельно оценивает необходимость уведомления Роскомнадзора о трансграничной передаче, отражает соответствующие сведения в своей политике и получает необходимые согласия субъектов.

9. Сроки хранения и уничтожение

Уничтожение — по истечении срока или по обращению субъекта (при отсутствии иных оснований хранения). Факт уничтожения фиксируется актом.

10. Права субъектов ПДн

Субъект вправе:

• получить сведения об обработке;
• требовать уточнения, блокирования, удаления ПДн;
• отозвать согласие;
• получить выгрузку своих данных;
• обжаловать действия Оператора в Роскомнадзоре или суде.

Срок ответа — 10 рабочих дней (+5 дней при необходимости).

Форма обращения: письмо на legal@novalead.ru с указанием ФИО, контактных данных, существа обращения и подтверждением личности (скан/фото паспорта в защищённом виде — по запросу Оператора).

11. Обновление Политики

Актуальная редакция публикуется по адресам https://novalead.ru/privacy и https://nhype.ru/privacy с указанием даты; тексты по обоим адресам идентичны. Существенные изменения доводятся до субъектов через личный кабинет и email.

12. Контакты

• legal@novalead.ru — правовые запросы, запросы субъектов ПДн
• security@novalead.ru — инциденты безопасности
• Роскомнадзор (уполномоченный орган по защите прав субъектов ПДн): https://rkn.gov.ru