Политика обработки персональных данных
1. Общие положения
1.1. Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет цели, способы и условия обработки персональных данных пользователей сервиса MyAerial CRM (далее — «Сервис»).
1.2. Оператором персональных данных в смысле 152-ФЗ является: ИП Либерман Дмитрий Владимирович, ИНН 971500726070, ОГРНИП 325774600791532 (далее — «Оператор») — в отношении данных посетителей сайта, владельцев школ, частных тренеров и сотрудников Школ как пользователей Сервиса. Адрес электронной почты для обращений субъектов ПДн: legal@myaerial-crm.ru.
1.3. В отношении данных клиентов Школы (учеников, родителей и законных представителей) оператором является Школа. Оператор Сервиса обрабатывает эти данные по поручению Школы (ст. 6 ч. 3 152-ФЗ) только для работы Сервиса. Обращения клиентов по их данным рассматривает Школа; Оператор Сервиса помогает ей их исполнить.
2. Категории субъектов и обрабатываемых данных
2.1. Сотрудники Школы (владельцы, администраторы, тренеры):
- ФИО, адрес электронной почты, телефон, фотография, должность, ставка оплаты.
2.2. Клиенты Школы (через личный кабинет либо при регистрации Школой):
- ФИО, дата рождения, адрес электронной почты, телефон;
- сведения о состоянии здоровья и противопоказаниях (медицинские справки) — только с явного согласия субъекта;
- история занятий, прогресс, абонементы, история платежей.
3. Цели обработки
3.1. Предоставление услуг Сервиса Школе и её клиентам.
3.2. Исполнение обязательств перед клиентами Школы (учёт абонементов, бронирований).
3.3. Обеспечение безопасности занятий (учёт медицинских противопоказаний, согласий на занятия).
3.4. Налоговый и фискальный учёт (54-ФЗ для платежей).
3.5. Прямые транзакционные коммуникации (подтверждения бронирований, истечение абонементов).
4. Правовые основания
4.1. Согласие субъекта (ст. 6 ч.1 п.1 152-ФЗ) — для обработки персональных данных клиентов и медицинских данных.
4.2. Договор (ст. 6 ч.1 п.5 152-ФЗ) — для обработки данных сотрудников Школы.
4.3. Закон (ст. 6 ч.1 п.2 152-ФЗ) — для исполнения 54-ФЗ.
5. Хранение и защита
5.1. Все персональные данные хранятся на территории РФ: на серверах хостинг-провайдера Selectel (Россия, Москва). Трансграничная передача персональных данных не осуществляется.
5.2. Резервные копии хранятся на территории РФ, в шифрованном виде (GPG).
5.3. Технические меры защиты:
- Изоляция данных школ через защиту на уровне строк PostgreSQL;
- Шифрование при передаче (TLS 1.2+);
- Журнал действий с персональными данными;
- Согласия с сохранением версии документа, IP-адреса и сведений о браузере.
6. Сроки хранения
6.1. Активные клиенты — до отзыва согласия или прекращения договора со Школой.
6.2. Деактивированные клиенты — 1 год для возможности восстановления, далее анонимизация.
6.3. Финансовые/фискальные документы (54-ФЗ) — 5 лет.
6.4. Уведомления и журналы в рамках 152-ФЗ — 1 год.
7. Права субъектов
7.1. Субъект имеет право:
- получить информацию об обработке своих ПДн;
- требовать уточнения, блокирования или уничтожения ПДн;
- отозвать согласие.
7.2. Запросы направляются на адрес электронной почты Оператора: legal@myaerial-crm.ru. Срок ответа — 30 календарных дней с момента получения обращения (152-ФЗ ст. 20 ч. 4). В обращении необходимо указать ФИО заявителя, контактные данные, школу-оператора и суть запроса (получение информации / уточнение / блокирование / удаление / отзыв согласия).
8. Уведомление об инцидентах
8.1. В случае утечки персональных данных Оператор уведомляет Роскомнадзор в течение 72 часов с момента обнаружения и пострадавших субъектов в сроки, установленные 152-ФЗ.
9. Подпроцессоры
9.1. Selectel (Россия) — хостинг и хранение. 9.2. ЮKassa (Россия) — приём платежей и фискализация — при подключении школой. Пока онлайн-оплата не подключена, данные в ЮKassa не передаются. 9.3. smsc.ru (Россия) — СМС-уведомления — при подключении школой (по умолчанию отключено; пока не подключено, данные в smsc.ru не передаются). 9.4. Яндекс Метрика (ООО «ЯНДЕКС», Россия) — статистика посещений сайта myaerial-crm.ru, см. раздел 10.
10. Файлы куки и статистика посещений сайта
10.1. Сайт использует файлы куки и сервис Яндекс Метрика, чтобы понимать, какие страницы полезны посетителям: адрес страницы, откуда пришёл посетитель, тип устройства и браузера, приблизительный регион, действия на странице.
10.2. Текст, который посетитель вводит в формы сайта, в Яндекс Метрику не передаётся: поля ввода исключены из записи.
10.3. Данные обрабатываются в обезличенном виде и используются только для улучшения сайта. Отключить файлы куки можно в настройках браузера — сайт продолжит работать.
10.4. В личном кабинете Сервиса Яндекс Метрика не используется.
10.5. Для оценки сайта Сервис сохраняет канал перехода и адрес первой посещённой страницы без поисковой фразы и параметров адреса. Отдельный защищённый файл куки действует 30 дней. При регистрации эти сведения сохраняются вместе с регистрационной записью и записью созданной школы на сервере Сервиса в России. Они позволяют считать созданные школы по источникам; отчёты содержат только количество школ, канал и страницу. Сведения из личного кабинета в Яндекс Метрику не передаются.
11. Изменения в Политике
11.1. Политика может изменяться. Текущая версия — см. версию в шапке. История версий хранится в публичном репозитории Сервиса.
11.2. Существенные изменения, влияющие на права субъектов ПДн (расширение целей обработки, добавление подпроцессоров вне РФ, изменение сроков хранения), вступают в силу не ранее 30 (тридцати) календарных дней с даты публикации новой версии и уведомления пользователей.
12. Реквизиты и контакты Оператора
- ИП Либерман Дмитрий Владимирович
- ИНН: 971500726070
- ОГРНИП: 325774600791532
- Электронная почта для обращений субъектов ПДн: legal@myaerial-crm.ru
- Веб-сайт: https://myaerial-crm.ru
Почтовый адрес для бумажных обращений не публикуется (Оператор — индивидуальный предприниматель, юридический адрес = адрес регистрации). При необходимости почтовое направление обращения — указывается в ответе на электронное обращение по адресу legal@myaerial-crm.ru.