Политика конфиденциальности и обработки персональных данных

1. Общие положения

1.1. Настоящая Политика конфиденциальности и обработки персональных данных, далее — «Политика», определяет порядок обработки и защиты персональных данных пользователей информационного ресурса redframe.io.

1.2. Оператором персональных данных в рамках настоящей Политики является владелец информационного ресурса redframe.io, далее — «Оператор».

1.3. Политика применяется ко всей информации, которую Оператор может получить о пользователях:

• при посещении сайта redframe.io;
• при заполнении и отправке формы обращения;
• при последующем взаимодействии по направленному обращению;
• при переписке по электронной почте;
• при взаимодействии через Telegram, MAX, телефон и иные указанные пользователем способы связи;
• при использовании файлов cookie и средств веб-аналитики, если такие средства подключены на сайте.

1.4. Политика разработана с учетом требований законодательства Российской Федерации в области персональных данных.

1.5. Политика размещается в открытом доступе на сайте redframe.io.

1.6. Использование сайта без отправки формы обращения не означает согласия пользователя на обработку данных, для которой законодательством требуется отдельное согласие.

1.7. Предоставление согласия на обработку данных через форму осуществляется отдельно путем самостоятельной установки пользователем соответствующей отметки.

1.8. Чекбоксы согласия не должны быть установлены заранее.

1.9. Настоящая Политика не является согласием на получение рекламы, массовых рассылок или иных маркетинговых сообщений. Такое согласие, если соответствующие рассылки будут использоваться, оформляется отдельно.

2. Основные термины

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу.

2.2. Пользователь — физическое лицо, которое посещает сайт redframe.io, направляет обращение либо взаимодействует с Оператором посредством указанных на сайте каналов связи.

2.3. Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без их использования.

2.4. Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.

2.5. Предоставление персональных данных — действия, направленные на раскрытие данных определенному лицу или определенному кругу лиц.

2.6. Распространение персональных данных — действия, направленные на раскрытие данных неопределенному кругу лиц.

2.7. Блокирование персональных данных — временное прекращение обработки, кроме случаев, когда обработка необходима для уточнения данных.

2.8. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных.

2.9. Файлы cookie — небольшие фрагменты данных, сохраняемые браузером пользователя при посещении сайта.

3. Принципы обработки персональных данных

3.1. Оператор осуществляет обработку на законной и справедливой основе.

3.2. Обработка ограничивается конкретными, заранее определенными и законными целями.

3.3. Не допускается обработка данных, несовместимая с целями их сбора.

3.4. Состав и объем обрабатываемых данных должны соответствовать заявленным целям.

3.5. Оператор не должен собирать данные, избыточные по отношению к целям их обработки.

3.6. При обработке обеспечиваются точность, достаточность и, при необходимости, актуальность данных.

3.7. Данные хранятся не дольше, чем этого требуют цели обработки или применимые законные основания.

3.8. После достижения целей обработки данные удаляются или уничтожаются, если их дальнейшее хранение не требуется законодательством или договором.

4. Категории субъектов персональных данных

4.1. Оператор может обрабатывать персональные данные следующих категорий лиц:

• посетителей сайта;
• пользователей, направляющих обращения;
• представителей потенциальных заказчиков;
• представителей действующих заказчиков;
• представителей подрядчиков и деловых партнеров;
• лиц, ведущих переписку с Оператором;
• иных лиц, добровольно предоставивших свои данные для связи.

5. Перечень обрабатываемых данных

5.1. При заполнении формы обращения пользователь может предоставить:

• имя;
• наименование компании;
• должность, если она добровольно указана;
• адрес электронной почты;
• номер телефона;
• имя пользователя, ссылку на профиль или иной идентификатор в Telegram;
• имя пользователя, ссылку на профиль или иной идентификатор в MAX;
• предпочтительный способ связи;
• сведения об интересующих услугах;
• описание задачи;
• сведения о предполагаемом объекте тестирования;
• иные сведения, добровольно указанные пользователем в текстовых полях.

5.2. При отправке формы могут обрабатываться:

• дата и время отправки;
• адрес страницы, с которой отправлено обращение;
• UTM-метки;
• реферер или иной параметр источника перехода;
• технический идентификатор обращения;
• факт предоставления согласия;
• дата и время предоставления согласия;
• версия принятого согласия;
• версия Политики, с которой ознакомился пользователь.

5.3. Для обеспечения безопасности сайта могут временно обрабатываться:

• IP-адрес;
• дата и время запроса;
• запрошенный URL;
• тип запроса;
• код ответа сервера;
• технические сведения о подозрительной активности;
• сведения о срабатывании ограничений частоты запросов;
• сведения, необходимые для предотвращения спама и автоматизированных отправок.

5.4. Полный IP-адрес не включается в карточку обращения и не используется для определения личности пользователя, если это не требуется для расследования злоупотребления, обеспечения безопасности или исполнения требований законодательства.

5.5. При использовании веб-аналитики могут обрабатываться:

• файлы cookie;
• обезличенный или технический идентификатор посетителя;
• сведения о посещенных страницах;
• длительность посещения;
• источник перехода;
• приблизительные технические сведения об устройстве и браузере;
• разрешение экрана;
• действия пользователя на страницах сайта;
• приблизительный регион, определяемый средствами аналитики.

5.6. Оператор не ставит целью обработку:

• сведений о расовой или национальной принадлежности;
• политических взглядов;
• религиозных или философских убеждений;
• состояния здоровья;
• интимной жизни;
• биометрических персональных данных;
• паспортных данных;
• платежных реквизитов;
• сведений о банковских картах.

5.7. Пользователь не должен передавать через публичную форму:

• пароли;
• токены;
• API-ключи;
• закрытые ключи;
• коды восстановления;
• секреты приложений;
• рабочие учетные данные;
• конфигурационные файлы с секретами;
• исходный код;
• дампы баз данных;
• сведения, составляющие государственную, коммерческую или иную охраняемую законом тайну;
• персональные данные третьих лиц без законного основания.

5.8. Чувствительные технические сведения должны передаваться только после согласования защищенного канала и, при необходимости, заключения соглашения о конфиденциальности.

6. Цели обработки

6.1. Данные, предоставленные через форму обращения, могут обрабатываться в целях:

• приема и регистрации обращения;
• идентификации отправителя;
• установления обратной связи;
• уточнения задачи;
• определения состава и объема предполагаемых работ;
• подбора подходящей услуги;
• определения формата тестирования;
• подготовки предварительной оценки;
• подготовки коммерческого предложения;
• ответа на вопросы пользователя;
• проведения переговоров;
• согласования условий сотрудничества;
• заключения договора по инициативе пользователя;
• исполнения договора;
• сопровождения проекта;
• проведения повторной проверки исправлений;
• ведения учета обращений;
• контроля качества обработки обращений;
• рассмотрения претензий и спорных ситуаций;
• защиты прав и законных интересов Оператора и пользователя.

6.2. Технические данные могут обрабатываться в целях:

• обеспечения работоспособности сайта;
• диагностики ошибок;
• предотвращения спама;
• ограничения частоты запросов;
• обнаружения автоматизированных отправок;
• выявления атак и злоупотреблений;
• анализа инцидентов безопасности;
• защиты инфраструктуры сайта;
• ведения технических журналов событий.

6.3. Данные веб-аналитики могут обрабатываться в целях:

• анализа посещаемости;
• оценки эффективности страниц;
• улучшения структуры сайта;
• повышения удобства использования;
• анализа источников переходов;
• оценки эффективности информационных и рекламных материалов.

6.4. Данные не должны использоваться в целях, несовместимых с указанными при их сборе.

7. Правовые основания обработки

7.1. В зависимости от цели правовыми основаниями обработки могут являться:

• согласие пользователя;
• действия, необходимые для заключения договора по инициативе пользователя;
• заключение и исполнение договора;
• исполнение обязанностей, возложенных законодательством;
• осуществление прав и законных интересов Оператора при условии, что не нарушаются права и свободы пользователя;
• иные основания, предусмотренные законодательством Российской Федерации.

7.2. Направляя форму, пользователь подтверждает, что предоставленные сведения принадлежат ему либо он имеет законное основание для их передачи.

7.3. Если пользователь сообщает данные третьих лиц, он самостоятельно обеспечивает наличие законного основания для такой передачи.

8. Способы обработки

8.1. Обработка может осуществляться:

• с использованием средств автоматизации;
• без использования средств автоматизации;
• смешанным способом.

8.2. Оператор может совершать следующие действия:

• сбор;
• получение;
• запись;
• систематизация;
• накопление;
• хранение;
• уточнение;
• обновление;
• изменение;
• извлечение;
• использование;
• сопоставление;
• предоставление доступа;
• передача лицам, действующим по поручению Оператора;
• блокирование;
• удаление;
• уничтожение.

8.3. Оператор не принимает на основании данных формы исключительно автоматизированные решения, которые порождают юридические последствия для пользователя или иным образом существенно затрагивают его права и законные интересы.

9. Условия хранения и локализация

9.1. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, расположенных на территории Российской Федерации, за исключением случаев, допускаемых законодательством.

9.2. Основная база заявок должна размещаться на территории Российской Федерации.

9.3. Доступ к базе данных не должен предоставляться из сети Интернет напрямую.

9.4. Данные могут храниться:

• в базе данных сайта;
• в корпоративной электронной почте;
• в системе учета обращений;
• в резервных копиях;
• в документах, необходимых для подготовки или исполнения договора;
• в технических журналах событий.

9.5. Резервные копии защищаются от несанкционированного доступа и хранятся только в течение установленного срока.

9.6. Оператор принимает меры для исключения хранения данных дольше, чем это объективно требуется.

10. Сроки обработки и хранения

10.1. Обращения, которые не привели к заключению договора, могут храниться до трех лет с даты последнего содержательного взаимодействия.

10.2. Обращения, признанные спамом, могут удаляться ранее.

10.3. Если по результатам обращения заключен договор, необходимые данные могут храниться:

• в течение срока действия договора;
• в течение срока исполнения обязательств;
• после прекращения договора в пределах сроков, необходимых для учета, защиты прав и исполнения требований законодательства.

10.4. Технические журналы безопасности хранятся в течение срока, необходимого для обнаружения и расследования инцидентов.

10.5. Данные веб-аналитики хранятся в соответствии с настройками используемой системы аналитики и установленными Оператором сроками.

10.6. По достижении целей данные удаляются или уничтожаются, если отсутствуют основания для их дальнейшего хранения.

11. Передача и предоставление данных

11.1. Оператор не распространяет персональные данные среди неопределенного круга лиц.

11.2. Доступ может предоставляться:

• лицам, непосредственно обрабатывающим обращения;
• техническим специалистам, участвующим в подготовке ответа или проекта;
• лицам, обеспечивающим работу сайта;
• поставщикам серверной инфраструктуры;
• поставщикам электронной почты;
• лицам, выполняющим резервное копирование;
• поставщикам средств защиты от спама и атак;
• консультантам и представителям Оператора;
• государственным органам и судам в случаях, предусмотренных законодательством.

11.3. Передача осуществляется только в объеме, необходимом для соответствующей цели.

11.4. Лица, обрабатывающие данные по поручению Оператора, обязаны:

• соблюдать конфиденциальность;
• обеспечивать безопасность;
• выполнять обработку только в пределах поручения;
• не использовать данные в собственных целях;
• удалить или возвратить данные после выполнения поручения, если иное не требуется законодательством.

11.5. Оператор не продает персональные данные.

11.6. Оператор не передает контактные данные третьим лицам для самостоятельного направления рекламы.

12. Трансграничная передача

12.1. Оператор не осуществляет трансграничную передачу персональных данных, если иное прямо не предусмотрено отдельным процессом и не оформлено в установленном порядке.

12.2. Перед подключением иностранного сервиса, которому могут передаваться данные пользователей, Оператор должен отдельно оценить:

• место хранения данных;
• состав передаваемых сведений;
• правовое основание передачи;
• необходимость уведомления уполномоченного органа;
• применимые меры защиты.

12.3. Подключение иностранного сервиса аналитики, почты, CRM, защиты от спама или хостинга должно быть отражено в актуальной редакции Политики.

13. Файлы cookie

13.1. Сайт может использовать обязательные cookie, необходимые для:

• корректной работы;
• обеспечения безопасности;
• защиты от подделки запросов;
• сохранения технического состояния формы;
• распределения нагрузки.

13.2. Сайт может использовать аналитические cookie, если подключена система веб-аналитики.

13.3. Необязательные аналитические cookie должны использоваться с учетом применимых требований и настроек сайта.

13.4. Пользователь может ограничить или удалить cookie с помощью настроек браузера.

13.5. Отключение обязательных cookie может привести к некорректной работе отдельных функций сайта.

13.6. Подробные сведения могут размещаться в отдельной Политике использования файлов cookie.

14. Веб-аналитика

14.1. На сайте может использоваться Яндекс Метрика.

14.2. Система аналитики подключается только при наличии соответствующего идентификатора в настройках сайта.

14.3. С помощью аналитики могут собираться сведения о посещениях и взаимодействии с сайтом.

14.4. Если Яндекс Метрика фактически не подключена, настоящий раздел не означает, что такие данные собираются.

14.5. При изменении набора аналитических инструментов Политика должна быть обновлена.

15. Обеспечение безопасности

15.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты данных.

15.2. В зависимости от характера обработки могут применяться:

• разграничение прав доступа;
• индивидуальные учетные записи;
• многофакторная аутентификация для административного доступа;
• ограничение доступа к административной панели;
• использование защищенного соединения HTTPS;
• защита базы данных от публичного доступа;
• журналирование событий безопасности;
• защита от перебора паролей;
• ограничение частоты отправки форм;
• защита от автоматизированных запросов;
• резервное копирование;
• регулярное обновление программного обеспечения;
• контроль используемых зависимостей;
• защита секретов и учетных данных;
• удаление неактуальных данных;
• проверка эффективности мер защиты.

15.3. В журналах не должны сохраняться без необходимости:

• пароли;
• токены;
• session ID;
• CSRF-токены;
• содержимое cookie;
• значения секретных переменных;
• полный текст обращения;
• избыточные контактные данные.

15.4. Оператор принимает меры для обнаружения и устранения нарушений безопасности.

16. Права пользователя

16.1. Пользователь вправе получить сведения об обработке своих данных.

16.2. Пользователь вправе потребовать:

• уточнения данных;
• обновления данных;
• блокирования данных;
• удаления данных;
• уничтожения данных;
• прекращения обработки;
• отзыва согласия.

16.3. Пользователь вправе получить информацию:

• о целях обработки;
• о способах обработки;
• о составе обрабатываемых данных;
• об источниках получения;
• о сроках хранения;
• о лицах, обрабатывающих данные по поручению;
• о предполагаемой или осуществленной трансграничной передаче;
• о мерах, принимаемых Оператором для выполнения обязанностей.

16.4. Пользователь вправе обжаловать действия или бездействие Оператора в уполномоченный орган либо в суд.

17. Порядок направления обращений

17.1. Обращения по вопросам обработки персональных данных направляются на: privacy@redframe.io

17.2. В обращении рекомендуется указать:

• имя;
• контакт, использованный при отправке формы;
• примерную дату отправки;
• суть требования;
• сведения, позволяющие найти соответствующее обращение.

17.3. Оператор вправе запросить информацию, необходимую для подтверждения личности заявителя и его связи с соответствующими данными.

17.4. Такие меры применяются для предотвращения раскрытия, изменения или удаления данных по запросу постороннего лица.

17.5. Ответ направляется по контактному адресу, указанному в обращении, в установленный законом срок.

18. Отзыв согласия

18.1. Пользователь вправе отозвать согласие в любое время.

18.2. Отзыв направляется на: privacy@redframe.io

18.3. После получения отзыва Оператор прекращает обработку, основанную на согласии, если отсутствует иное законное основание для продолжения обработки.

18.4. Отзыв не влияет на законность действий, совершенных до его получения.

18.5. Данные удаляются или уничтожаются в установленном порядке, если их дальнейшее хранение не требуется законодательством, договором или защитой законных интересов сторон.

19. Обязанности пользователя

19.1. Пользователь обязан предоставлять достоверные и актуальные сведения.

19.2. Пользователь не должен передавать данные третьих лиц без законного основания.

19.3. Пользователь обязан своевременно сообщать об изменении данных, если их актуальность необходима для взаимодействия.

19.4. Пользователь самостоятельно определяет объем информации, указываемой в необязательных полях.

20. Данные несовершеннолетних

20.1. Услуги сайта предназначены преимущественно для представителей организаций и совершеннолетних пользователей.

20.2. Оператор не осуществляет намеренный сбор данных несовершеннолетних.

20.3. Если станет известно, что данные несовершеннолетнего были предоставлены без надлежащего законного основания, они могут быть удалены.

21. Сторонние сайты

21.1. Сайт может содержать ссылки на сторонние ресурсы.

21.2. Оператор не контролирует обработку данных на сторонних ресурсах.

21.3. Настоящая Политика не распространяется на сайты и сервисы третьих лиц.

21.4. Перед использованием стороннего сервиса пользователь должен ознакомиться с его собственными документами о конфиденциальности.

22. Изменение Политики

22.1. Оператор вправе изменять Политику при:

• изменении законодательства;
• изменении функциональности сайта;
• подключении новых сервисов;
• изменении состава или целей обработки;
• изменении способов хранения;
• изменении мер безопасности.

22.2. Новая редакция вступает в силу с момента публикации, если в ней не указан иной срок.

22.3. В верхней части документа указывается дата редакции.

22.4. Если изменение требует нового согласия пользователя, Оператор получает такое согласие отдельно.

23. Заключительные положения

23.1. Актуальная редакция Политики доступна на сайте redframe.io.

23.2. Политика применяется к обработке, осуществляемой через сайт и связанные с обращениями каналы взаимодействия.

23.3. Отдельное согласие на обработку персональных данных размещается на странице /personal-data-consent/.

23.4. Отдельная политика использования файлов cookie может размещаться на странице /cookies/.

23.5. Контакт для вопросов, требований и отзыва согласия: privacy@redframe.io