Политика в отношении обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных физических лиц при использовании сайта arendaos.com и веб-приложения ArendaOS (далее совместно — сервис), в том числе при направлении заявки через форму «Запросить демо», а также описывает меры по защите таких данных.

Оператором персональных данных является Частное унитарное предприятие «Окей-М», УНП 691189213, место нахождения: 220053, г. Минск, ул. Нововиленская, д. 38, пом. 23 (далее — Оператор).

Политика разработана в соответствии с Законом Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных» (далее — Закон) и иными актами законодательства Республики Беларусь.

Для целей настоящей Политики используются следующие термины:

— персональные данные — любая информация, относящаяся к идентифицированному физическому лицу или физическому лицу, которое может быть идентифицировано (субъект персональных данных);

— субъект персональных данных — физическое лицо, в отношении которого осуществляется обработка персональных данных;

— оператор — государственный орган, юридическое лицо Республики Беларусь, иная организация, физическое лицо, в том числе индивидуальный предприниматель, которые самостоятельно или совместно с иными указанными лицами организуют и (или) осуществляют обработку персональных данных. В рамках настоящей Политики оператором выступает указанное выше Частное унитарное предприятие «Окей-М»;

— обработка персональных данных — любое действие или совокупность действий, совершаемые с персональными данными, включая сбор, систематизацию, хранение, изменение, использование, обезличивание, блокирование, распространение, предоставление, удаление персональных данных;

— согласие субъекта персональных данных — свободное, однозначное, информированное выражение воли физического лица, посредством которого оно разрешает обработку своих персональных данных;

— уполномоченное лицо — государственный орган, юридическое или физическое лицо, которое на основании договора с оператором либо в силу акта законодательства осуществляет обработку персональных данных от имени оператора или в его интересах.

Настоящая Политика является публичным документом и доступна на сайте продукта ArendaOS. Редакция Политики действует с даты её размещения на сайте.

ArendaOS — программное обеспечение для автоматизации деятельности компаний автопроката (компаний-клиентов). В отношении разных категорий персональных данных Оператор выступает в разных ролях:

— в качестве оператора — в отношении персональных данных посетителей сайта, оставивших заявку через форму «Запросить демо», и пользователей веб-приложения (сотрудников компаний-клиентов, которым предоставлен доступ к сервису);

— в качестве уполномоченного лица — в отношении персональных данных клиентов (арендаторов), водителей и иных физических лиц, которые компании-клиенты самостоятельно вносят в веб-приложение при ведении своей деятельности.

Оператором персональных данных, вносимых компанией-клиентом в веб-приложение, является соответствующая компания-клиент: она самостоятельно определяет цели, перечень и сроки обработки таких данных и отвечает на обращения своих клиентов. По вопросам обработки таких данных субъектам персональных данных следует обращаться к компании, с которой они взаимодействовали (например, заключали договор аренды). Оператор обрабатывает такие данные исключительно по поручению компании-клиента и обеспечивает их конфиденциальность и защиту в соответствии с Законом.

Оператор обрабатывает персональные данные исключительно в следующих целях:

— обработка и рассмотрение заявки (запроса) на демонстрацию продукта ArendaOS, оставленной через форму «Запросить демо»;

— связь с потенциальным клиентом для согласования условий и проведения демонстрации продукта, направления информации о продукте и коммерческого предложения;

— регистрация пользователей и предоставление доступа к веб-приложению ArendaOS, включая направление уведомлений, связанных с работой сервиса, по каналам, подключённым самим пользователем (электронная почта, Telegram, SMS);

— рассмотрение обращений в поддержку и сообщений о проблемах в работе сервиса;

— обеспечение безопасности, работоспособности и совершенствования сайта и сервиса;

— ответ на обращения, вопросы и иные запросы субъекта персональных данных.

Обработка персональных данных в иных целях, не предусмотренных настоящей Политикой, не осуществляется без получения соответствующего согласия субъекта персональных данных, за исключением случаев, когда обработка допускается законодательством без согласия субъекта.

Через форму «Запросить демо» Оператор обрабатывает следующие персональные данные, предоставляемые субъектом добровольно:

— имя (контактное лицо);

— номер телефона и (или) адрес электронной почты — на выбор субъекта, достаточно одного из двух;

— наименование компании (организации), которую представляет субъект;

— размер автопарка (сведения о количестве транспортных средств);

— адрес страницы сайта, с которой отправлена заявка (служебные сведения, используемые исключительно для оценки того, какие материалы сайта востребованы).

При регистрации и использовании веб-приложения ArendaOS Оператор обрабатывает следующие персональные данные пользователей (сотрудников компаний-клиентов):

— фамилия, имя, отчество;

— адрес электронной почты;

— номер телефона (для SMS-уведомлений, при указании его пользователем);

— идентификатор Telegram-чата (при подключении Telegram-уведомлений самим пользователем);

— пароль (хранится исключительно в виде криптографического хэша; в исходном виде не сохраняется).

При обращении в поддержку или отправке сообщения о проблеме в работе сервиса обрабатываются содержание обращения, приложенные пользователем файлы (в том числе снимки экрана) и технические сведения, необходимые для разбора проблемы (данные о браузере, устройстве и версии приложения).

Кроме того, при использовании сайта и сервиса могут автоматически обрабатываться технические данные, связанные с их работой (например, IP-адрес, сведения о браузере и устройстве, журналы доступа). Порядок использования файлов cookie описан в разделе 12 настоящей Политики.

Персональные данные клиентов (арендаторов) и водителей, которые компании-клиенты вносят в веб-приложение (в том числе паспортные данные, данные водительского удостоверения, фотографии, сведения о договорах, платежах и истории аренды), Оператор обрабатывает в качестве уполномоченного лица по поручению соответствующей компании-клиента (раздел 2 настоящей Политики). Цели, перечень и сроки обработки таких данных определяет компания-клиент.

Оператор не запрашивает и не обрабатывает через сайт специальные категории персональных данных (в частности, данные, касающиеся состояния здоровья, биометрические и генетические персональные данные).

Правовым основанием обработки персональных данных, собираемых через форму «Запросить демо», является согласие субъекта персональных данных, предоставляемое в соответствии со статьями 5 и 6 Закона.

Согласие выражается субъектом путём совершения активного действия — отметки соответствующего поля (флажка) и (или) нажатия кнопки отправки формы после ознакомления с настоящей Политикой. До предоставления согласия субъект информируется об Операторе, целях обработки, перечне обрабатываемых персональных данных, их получателях, а также о своих правах. Факт и дата предоставления согласия фиксируются Оператором.

Правовым основанием обработки персональных данных пользователей веб-приложения являются договор, заключённый с компанией-клиентом, в интересах которой пользователю предоставляется доступ к сервису, и согласие пользователя, выражаемое при регистрации и использовании сервиса.

Персональные данные, вносимые компаниями-клиентами в веб-приложение, обрабатываются на основании поручения соответствующей компании-клиента (договора с ней); правовые основания обработки таких данных обеспечивает компания-клиент как их оператор.

Предоставление персональных данных является добровольным. Без предоставления данных, необходимых для связи (имя и номер телефона либо адрес электронной почты), Оператор не сможет обработать заявку на демонстрацию продукта; без данных, необходимых для создания учётной записи, — предоставить доступ к сервису.

Оператор совершает с персональными данными следующие действия: сбор, систематизацию, хранение, изменение (обновление, уточнение), использование, предоставление (в том числе уполномоченным лицам), блокирование, удаление и уничтожение персональных данных.

Обработка персональных данных осуществляется как с использованием средств автоматизации (в информационных системах, включая системы учёта заявок и взаимодействия с клиентами, а также облачные сервисы), так и без использования таких средств. Передача персональных данных по сети Интернет осуществляется с применением мер защиты, описанных в разделе 11 настоящей Политики.

Оператор не принимает решений, порождающих юридические последствия для субъекта персональных данных или иным образом существенно затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.

Согласие на обработку персональных данных действует до достижения целей обработки либо до момента его отзыва субъектом персональных данных.

Оператор хранит персональные данные не дольше, чем этого требуют цели обработки. По достижении целей обработки (в частности, если демонстрация не привела к заключению договора и взаимодействие с потенциальным клиентом прекращено), а также в случае отзыва согласия персональные данные подлежат удалению (уничтожению), если иное не предусмотрено законодательством Республики Беларусь.

Персональные данные пользователей веб-приложения обрабатываются в течение периода предоставления доступа к сервису и удаляются (уничтожаются) при удалении учётной записи, если иное не предусмотрено законодательством либо договором с компанией-клиентом.

Субъект персональных данных вправе в любое время без объяснения причин отозвать своё согласие на обработку персональных данных (статья 10 Закона). Отзыв согласия может быть осуществлён в той же форме, в которой согласие было предоставлено, либо иным способом, указанным в разделе 13 настоящей Политики. После получения отзыва согласия Оператор прекращает обработку персональных данных, обеспечивает их удаление и уведомляет субъекта о результатах рассмотрения обращения в срок, установленный Законом.

Отзыв согласия не распространяется на обработку персональных данных, которая осуществлялась до момента его отзыва, а также на случаи, когда обработка допускается законодательством без согласия субъекта.

Для достижения указанных целей Оператор вправе поручать обработку персональных данных уполномоченным лицам на основании заключаемых с ними договоров, содержащих условие об обязанности уполномоченного лица обеспечивать конфиденциальность и защиту персональных данных и соблюдать требования Закона.

К таким уполномоченным лицам могут относиться, в частности, поставщики услуг хостинга и облачной инфраструктуры, поставщики систем учёта заявок и взаимодействия с клиентами, сервисы рассылки сообщений (электронная почта, мессенджеры, SMS) и сервисы веб-аналитики.

Уполномоченные лица обрабатывают персональные данные исключительно по поручению Оператора и в объёме, необходимом для оказания соответствующих услуг. Оператор стремится к тому, чтобы объём передаваемых уполномоченным лицам данных был минимально необходимым для достижения целей обработки.

В связи с использованием облачных сервисов, систем хранения данных и сервисов рассылки персональные данные могут обрабатываться и храниться на серверах, расположенных как на территории Республики Беларусь, так и за её пределами. Это может означать трансграничную передачу персональных данных в значении статьи 9 Закона.

Трансграничная передача персональных данных осуществляется с соблюдением требований статьи 9 Закона. Одним из оснований такой передачи является согласие субъекта персональных данных, предоставленное при отправке формы «Запросить демо» либо при регистрации в сервисе. При осуществлении трансграничной передачи Оператор учитывает требования законодательства Республики Беларусь, в том числе в части обеспечения надлежащего уровня защиты прав субъектов персональных данных в государстве, на территорию которого передаются данные.

Перечень государств, на территории которых может осуществляться обработка персональных данных, определяется составом используемых Оператором сервисов. Сведения о таких государствах могут быть предоставлены субъекту по его запросу, направленному в порядке, предусмотренном разделом 13 настоящей Политики.

В соответствии с Законом субъект персональных данных имеет право:

— получать информацию, касающуюся обработки его персональных данных, в том числе сведения об Операторе, о наличии своих персональных данных, целях и правовых основаниях их обработки, перечне обрабатываемых данных и источнике их получения, сроках обработки и хранения;

— требовать внесения изменений в свои персональные данные в случае, если они являются неполными, устаревшими или неточными;

— получать информацию о предоставлении своих персональных данных третьим лицам;

— требовать прекращения обработки персональных данных и (или) их удаления при отсутствии оснований для обработки, предусмотренных законодательством;

— в любое время без объяснения причин отозвать ранее данное согласие на обработку персональных данных;

— обжаловать действия (бездействие) и решения Оператора, нарушающие его права при обработке персональных данных.

Для реализации своих прав субъект персональных данных направляет Оператору обращение в письменной форме либо в виде электронного документа способами, указанными в разделе 13 настоящей Политики. Обращение должно содержать сведения, позволяющие идентифицировать субъекта, а также изложение существа требования. Оператор рассматривает обращение и предоставляет ответ в сроки, установленные Законом.

Если обращение касается персональных данных, оператором которых является компания-клиент (раздел 2 настоящей Политики), Оператор перенаправляет его соответствующей компании-клиенту и (или) сообщает субъекту её контактные данные.

В случае несогласия с действиями (бездействием) и решениями Оператора субъект персональных данных вправе обжаловать их в Национальный центр защиты персональных данных Республики Беларусь (НЦЗПД), являющийся уполномоченным органом по защите прав субъектов персональных данных. Решение, принятое НЦЗПД, может быть обжаловано субъектом персональных данных в суд в порядке, установленном законодательством.

Оператор принимает правовые, организационные и технические меры по обеспечению защиты персональных данных от несанкционированного или случайного доступа к ним, изменения, блокирования, копирования, распространения, предоставления, удаления, а также от иных неправомерных действий в отношении персональных данных, в соответствии со статьёй 17 Закона.

К таким мерам, в частности, относятся:

— назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;

— установление порядка доступа к персональным данным и ограничение круга лиц, допущенных к их обработке, в том числе разграничение прав доступа пользователей веб-приложения по ролям;

— ознакомление работников и иных лиц, осуществляющих обработку персональных данных, с положениями законодательства и локальных правовых актов по вопросам защиты персональных данных;

— применение технических средств защиты, включая передачу данных по защищённым соединениям (TLS/HTTPS), шифрование отдельных категорий данных при хранении, парольную защиту и журналирование операций с данными;

— регулярное резервное копирование;

— заключение с уполномоченными лицами договоров, предусматривающих обязанность обеспечения конфиденциальности и защиты персональных данных.

Применение указанных мер направлено на снижение рисков, связанных с обработкой персональных данных; вместе с тем ни одна система защиты не может гарантировать абсолютную безопасность данных. Ответственным за осуществление внутреннего контроля за обработкой персональных данных является лицо, назначенное Оператором. Обращения по вопросам обработки и защиты персональных данных направляются по контактам, указанным в разделе 13 настоящей Политики.

Сайт и веб-приложение используют технические файлы cookie и локальное хранилище браузера, необходимые для их работы: сессионную httpOnly-cookie для аутентификации пользователя в веб-приложении и локальное хранилище для настроек интерфейса (например, выбранной темы оформления).

Файлы cookie представляют собой небольшие текстовые файлы, сохраняемые в браузере пользователя. С их помощью могут обрабатываться технические данные, указанные в разделе 4 настоящей Политики.

Рекламные трекеры не используются. На публичных страницах сайта (лендинг, информационные и справочные разделы, политика конфиденциальности) применяются сервисы веб-аналитики, собирающие обезличенную статистику посещаемости: Яндекс Метрика (ООО «ЯНДЕКС») и Google Analytics 4 (Google LLC, Google Ireland Limited). Эти сервисы устанавливают собственные файлы cookie с обезличенным идентификатором браузера и обрабатывают технические данные, указанные в разделе 4 настоящей Политики (в частности, IP-адрес, сведения о браузере и устройстве, источник перехода, просмотренные страницы).

Цель обработки — оценка посещаемости и эффективности информационных материалов сайта. Указанные сервисы не используются для идентификации конкретного физического лица и не применяются для рекламного таргетинга. Запись действий пользователя на странице (Вебвизор, сессионная запись) отключена.

В веб-приложении ArendaOS (закрытая часть сервиса, доступная после входа в учётную запись) сервисы веб-аналитики не применяются: их код на страницы веб-приложения не подключается. Это сделано для того, чтобы персональные данные, обрабатываемые в веб-приложении, в том числе данные клиентов и водителей, вносимые компаниями-клиентами, не становились доступны сторонним сервисам аналитики.

Файлы cookie сервисов веб-аналитики относятся к целевым и используются исключительно на основании согласия пользователя. При первом посещении сайта пользователю предлагается дать такое согласие либо отказаться от него; до получения согласия код сервисов веб-аналитики не загружается и соответствующие файлы cookie не устанавливаются. Отказ не влияет на доступность функций сайта. Технические файлы cookie, необходимые для работы сайта и веб-приложения (первый абзац настоящего раздела), используются независимо от согласия.

Согласие может быть отозвано в любой момент в разделе «Файлы cookie веб-аналитики» на странице настоящей Политики, а также средствами браузера (удалением файлов cookie или запретом их использования).

Поскольку указанные сервисы обрабатывают данные на серверах их операторов, применение веб-аналитики означает трансграничную передачу персональных данных в порядке, описанном в разделе 9 настоящей Политики.

Пользователь вправе самостоятельно ограничить или запретить использование файлов cookie в настройках своего браузера. Отключение файлов cookie может повлиять на доступность отдельных функций сайта и сервиса, включая невозможность входа в веб-приложение.

По всем вопросам, связанным с обработкой персональных данных, включая реализацию прав субъекта персональных данных (получение информации об обработке, внесение изменений, удаление данных, отзыв согласия, обжалование), субъект может обратиться к Оператору:

— Частное унитарное предприятие «Окей-М», УНП 691189213;

— место нахождения: 220053, г. Минск, ул. Нововиленская, д. 38, пом. 23;

— адрес электронной почты: [email protected];

— Telegram: @arendaos_com.

Режим работы для рассмотрения обращений: понедельник — пятница, с 10:00 до 18:00.

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики размещается на сайте продукта ArendaOS. Рекомендуем периодически знакомиться с текстом Политики на предмет внесённых изменений.