Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки персональных данных посетителей сайтов stf1.ru, www.stf1.ru, spb.stf1.ru (далее — Сайт), меры по обеспечению их безопасности, права субъектов персональных данных и обязанности оператора.

Оператор персональных данных — Геннинг Александр Владимирович, плательщик налога на профессиональный доход (самозанятый), ИНН 711278803777 (далее — Оператор). Сайт — витрина услуги «Стафф Партнер» по предоставлению временного персонала заказчикам — юридическим лицам и индивидуальным предпринимателям. Реквизиты и адреса для обращений приведены в конце документа.

Политика распространяется на все сведения, которые Оператор получает через Сайт: из форм заявки, окна чата, при переходе в мессенджеры по ссылкам Сайта и автоматически при его посещении. Политика не регулирует обработку данных на сайтах gen-a.ru и crm.gen-a.ru: у них собственная политика, опубликованная там же.

Политика разработана в соответствии с Конституцией Российской Федерации, Гражданским кодексом Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе» и иными нормативными актами Российской Федерации. При изменении законодательства положения Политики применяются в части, ему не противоречащей.

Оператор обрабатывает персональные данные законно и справедливо; только для заранее определённых целей и в объёме, необходимом для их достижения; не объединяет базы данных, собранные для несовместимых целей; обеспечивает точность и актуальность сведений; хранит их не дольше, чем требуют цели обработки или закон; принимает организационные и технические меры для их защиты.

Действующая редакция Политики постоянно опубликована по адресу stf1.ru/privacy-policy. Вместе с Политикой применяются Согласие на обработку персональных данных и Согласие на получение рекламных и информационных сообщений.

2. Термины и определения

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие с персональными данными, совершаемое с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Оператор — лицо, самостоятельно организующее и осуществляющее обработку персональных данных и определяющее её цели, состав данных и действия с ними. Реквизиты Оператора — в конце документа.
• Посетитель — любое физическое лицо, открывшее Сайт в браузере, в том числе действующее от имени организации-заказчика.
• Заказчик — юридическое лицо или индивидуальный предприниматель, которому Оператор оказывает или предлагает услуги по предоставлению персонала. Сайт работает только с заказчиками-организациями; физические лица как заказчики не обслуживаются.
• Представитель Заказчика — сотрудник или иное лицо, действующее от имени Заказчика и оставляющее свои контактные данные на Сайте.
• Заявка — обращение, отправленное через форму Сайта («Оставить заявку», «Заказать звонок», расчёт стоимости) либо созданное первым сообщением в чате.
• Чат — окно переписки с дежурным менеджером на Сайте.
• Учётная система Оператора (CRM) — информационная система Оператора на домене gen-a.ru, в которой ведутся заявки, переписка и учёт персонала.
• Куки — небольшой файл, который Сайт сохраняет в браузере Посетителя и получает обратно при следующих запросах. Локальное хранилище и хранилище вкладки — области памяти браузера, которые Сайт использует для тех же целей без отправки данных на сервер; хранилище вкладки очищается при её закрытии.
• Идентификатор посетителя — случайная строка в куки sw_visitor_id, по которой Сайт отличает один браузер от другого; имени, телефона и иных сведений о личности она не содержит.

3. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих основаниях (статья 6 Федерального закона № 152-ФЗ):

• согласие субъекта персональных данных — при отправке заявки с именем или адресом электронной почты, при заполнении анкеты в чате, при выборе «Принять» в баннере куки, при отметке о согласии на рассылки;
• заключение и исполнение договора, стороной которого является Заказчик, представляемый субъектом, либо действия по его заключению по инициативе субъекта — обработка контактных данных представителя Заказчика для ответа на заявку, подготовки коммерческого предложения и договора;
• законные интересы Оператора — защита Сайта от спама, автоматических отправок и злоупотреблений, обеспечение его работоспособности и безопасности; такие интересы не нарушают прав и свобод субъектов;
• исполнение обязанностей, возложенных законом — хранение доказательств получения согласия, ответы на запросы уполномоченных органов.

Согласие на получение рекламных и информационных сообщений (статья 18 Федерального закона № 38-ФЗ «О рекламе») запрашивается отдельной отметкой, не установленной по умолчанию, и не является условием ответа на заявку.

4. Субъекты персональных данных

Оператор обрабатывает персональные данные следующих категорий лиц:

• Посетители Сайта — все, кто открывает его страницы: обрабатываются технические сведения, необходимые для работы Сайта, и, при согласии, статистика посещения.
• Представители Заказчиков, оставившие заявку через форму, чат или обратный звонок: обрабатываются контактные данные и содержание обращения.
• Лица, ведущие переписку в чате Сайта, в том числе без указания имени и телефона.
• Лица, перешедшие из Сайта в мессенджер (Telegram, MAX) по ссылкам Сайта: обрабатывается связь между обращением на Сайте и диалогом в мессенджере.
• Лица, направившие Оператору запрос по вопросам персональных данных: обрабатываются сведения, необходимые для ответа.

Соискатели работы через Сайт не обращаются: ссылка «Найти работу» ведёт на сайт gen-a.ru, обработка данных соискателей описана в политике этого сайта. Данные несовершеннолетних Оператор через Сайт целенаправленно не собирает.

5. Какие данные обрабатываются и откуда они берутся

Сведения, которые Посетитель сообщает сам

Номер телефона отправляется на сервер в момент завершения его ввода, до нажатия кнопки отправки: так заявка не теряется, если Посетитель закрыл страницу, не дождавшись ответа формы. Пока рядом с номером нет имени и электронной почты, Оператор хранит его как обращение без отметки о согласии и использует только для обратного звонка; такие обращения в Учётную систему не передаются. Исправление номера в той же форме обновляет ту же запись, а не создаёт новую. Если Посетитель добавляет имя или почту, запрашивается отметка о согласии на обработку персональных данных.

Сведения, которые Сайт получает автоматически

Статистика поведения — только после «Принять» в баннере куки

• просмотры страниц и время, проведённое на каждой из них, пока вкладка активна;
• глубина прокрутки страницы и просмотр отдельных блоков;
• нажатия на кнопки и пункты меню, открытие форм и калькулятора, отправка заявок;
• адрес перехода на Сайт и метки рекламной кампании.

Эти сведения собирает собственная система статистики Сайта; сторонние счётчики (Яндекс.Метрика, Google Analytics и подобные) на Сайте не установлены. До нажатия «Принять» ни одно из перечисленных событий не отправляется и не сохраняется; при выборе «Только необходимое» — не собирается вовсе.

Уведомления об ответе — только по разрешению Посетителя

После первого сообщения в чате Сайт предлагает включить уведомления об ответе менеджера. Если Посетитель нажимает «Включить» и разрешает уведомления в своём браузере, Сайт получает от браузера подписку на уведомления: адрес доставки, выданный сервисом уведомлений производителя браузера, и служебные ключи шифрования. Вместе с ней сохраняются идентификатор посетителя, сведения о браузере и время подписки. Без явного разрешения в браузере подписка не создаётся; отказ ничего не сохраняет, кроме отметки в браузере, что предложение уже показывали (раздел 14).

Что Сайт не собирает

• геолокацию и координаты устройства;
• паспортные данные, ИНН, СНИЛС и иные документы;
• платёжные данные и банковские реквизиты;
• файлы и изображения от Посетителей (загрузка на Сайте не предусмотрена);
• биометрические и специальные категории персональных данных;
• сведения из социальных сетей и иных внешних источников.

6. Цели обработки

Персональные данные обрабатываются исключительно для следующих целей:

• Ответ на заявку и подготовка предложения — обратный звонок или письмо по оставленным контактам, уточнение задачи, подготовка коммерческого предложения и договора на оказание услуг по предоставлению персонала.
• Ведение переписки в чате Сайта и в мессенджерах, в которые Посетитель перешёл по ссылкам Сайта.
• Учёт обращений в Учётной системе Оператора: заявка и переписка передаются в CRM, чтобы менеджер видел историю обращения и не спрашивал одно и то же дважды.
• Защита Сайта от спама, автоматических отправок и злоупотреблений: проверка повторных отправок, ограничение частоты запросов, сохранение отсеянных заявок с указанием причины (чтобы ответить на вопрос «я отправлял, а вы не перезвонили»).
• Статистика посещаемости и улучшение Сайта — только при согласии в баннере куки: какие страницы и блоки читают, откуда приходят, где бросают форму.
• Направление рекламных и информационных сообщений — только при отдельном согласии (раздел 3, Согласие на рассылки).
• Подтверждение факта и условий согласия — ведение журнала согласий и отказов.
• Исполнение требований закона — ответы на запросы субъектов персональных данных и уполномоченных органов.

Оператор не использует данные, полученные через Сайт, для иных целей и не расширяет цели общей ссылкой на иные документы.

7. Порядок получения данных и согласий

Формы заявки

В формах «Оставить заявку», «Заказать звонок» и в расчёте стоимости сначала запрашивается номер телефона; поля имени, электронной почты и отметки о согласии раскрываются после его ввода. Отметка о согласии на обработку персональных данных обязательна, если заполнены имя или адрес электронной почты. В полной форме внизу главной страницы имя и отметка о согласии обязательны всегда. Отметка о согласии на рассылки отдельная, по умолчанию не установлена и на отправку заявки не влияет.

Чат

Первое сообщение в чате создаёт обращение без имени и телефона; отвечать в чате можно, ничего о себе не сообщая. После первого сообщения Сайт предлагает оставить имя, телефон и электронную почту — анкету можно закрыть или проигнорировать. Отметка о согласии запрашивается в анкете при вводе имени или почты. Текст, который Посетитель набирает, но ещё не отправил, виден дежурному менеджеру только в момент набора и нигде не сохраняется.

Баннер куки

При первом посещении Сайт показывает баннер с тремя действиями:

• «Принять» — включается сбор статистики (раздел 5) и сохранение меток рекламных кампаний; выбор записывается в журнал согласий.
• «Только необходимое» — статистика не собирается, метки кампаний не сохраняются; сохраняется только сам ответ, чтобы не спрашивать снова; отказ записывается в журнал наравне с согласием.
• Закрыть (крестик) — не согласие и не отказ: баннер скрывается до конца сеанса браузера и появится при следующем визите; ничего не записывается.

Изменить выбор можно в любой момент по ссылке «Настройки куки» в подвале Сайта: она сбрасывает прежний ответ и показывает баннер снова. Перечень куки и локального хранилища — в разделе 14.

Что фиксируется при согласии

В журнал согласий записываются: вид согласия (обработка персональных данных, рассылки, куки), факт согласия или отказа, дата и время, версия документа, действовавшая в этот момент, идентификатор посетителя, IP-адрес, сведения о браузере, страница, с которой сделан выбор, и — для согласий под заявкой — имя и адрес электронной почты, указанные в форме. Эти записи — доказательство того, на что и когда согласился субъект, и хранятся дольше самой заявки.

8. Автоматизированная обработка

Обработка персональных данных на Сайте ведётся с использованием средств автоматизации: приём заявок, ведение переписки, передача в Учётную систему, отправка писем и сбор статистики выполняются программами Сайта. Неавтоматизированная обработка возникает при работе менеджеров с заявками и при ответах на запросы субъектов.

Единственные автоматические решения на Сайте — технические: проверка заявки на признаки автоматической отправки (скрытое поле-ловушка, слишком быстрое заполнение, повтор того же номера в течение нескольких минут, превышение частоты запросов с одного адреса). Такая заявка не отбрасывается, а сохраняется с указанием причины и может быть рассмотрена менеджером по обращению Посетителя. Решений, порождающих юридические последствия для субъекта или иным образом существенно затрагивающих его права, на основании исключительно автоматизированной обработки Оператор не принимает.

9. Кому передаются данные

Оператор передаёт персональные данные только в объёме, необходимом для целей раздела 6, следующим получателям:

Иным третьим лицам, в том числе для рекламы, Оператор персональные данные не передаёт и не продаёт. Трансграничная передача персональных данных не осуществляется, за одним исключением: если Посетитель включил уведомления об ответе, адрес доставки и зашифрованное служебное уведомление без текста переписки передаются сервису уведомлений производителя его браузера, серверы которого могут находиться за пределами Российской Федерации; Посетитель даёт на это согласие, разрешая уведомления, и может отозвать его в любой момент (раздел 14). Сотрудники Оператора получают доступ к данным в объёме, необходимом для их обязанностей, и обязаны соблюдать конфиденциальность.

10. Хранение и сроки

Персональные данные хранятся в базе данных Сайта на сервере, расположенном на территории Российской Федерации, отдельно от базы Учётной системы. База данных Сайта — самостоятельная информационная система: у Учётной системы доступа к ней нет.

Сроки хранения определяются целями обработки:

• заявки, переписка и контактные данные — до достижения целей обработки (ответ на обращение, заключение и исполнение договора, рассмотрение претензий) либо до отзыва согласия, если для продолжения обработки нет иного законного основания;
• журнал согласий и отказов — в течение срока, необходимого для подтверждения факта и условий согласия, в том числе после отзыва согласия и удаления заявки;
• технические сведения о посещениях (IP-адрес, сведения о браузере, идентификатор посетителя, события статистики) — в течение срока, необходимого для обеспечения безопасности Сайта, разрешения споров и ведения статистики, после чего удаляются или обезличиваются;
• сведения, срок хранения которых установлен законом, — в течение установленного срока независимо от отзыва согласия.

Подписка на уведомления хранится, пока действует разрешение в браузере Посетителя: при отзыве разрешения, удалении данных сайта в браузере или отказе сервиса уведомлений принять сообщение подписка удаляется Сайтом при следующей попытке доставки.

Резервные копии базы данных создаются перед каждым обновлением Сайта, хранятся ограниченное время и уничтожаются по ротации; данные в них удаляются вместе с копией. Сведения в куки и локальном хранилище браузера хранятся в сроки, указанные в разделе 14, и стираются Посетителем в любой момент.

По достижении целей обработки, при отзыве согласия или по требованию субъекта данные уничтожаются либо обезличиваются, за исключением сведений, которые Оператор обязан или вправе хранить дальше в силу закона (раздел 12).

11. Меры защиты

Оператор принимает следующие организационные и технические меры:

• обмен данными между браузером и Сайтом ведётся только по защищённому протоколу HTTPS; куки выставляются с признаками Secure и HttpOnly (кроме технической копии признака согласия, которую читает сам Сайт) и действуют только на своём адресе;
• сервер приложения Сайта недоступен из сети напрямую: запросы принимает только веб-сервер Оператора; база данных не имеет внешнего сетевого доступа;
• доступ к заявкам и переписке в панели управления Сайтом защищён паролем, сессии ограничены по сроку; в базе хранятся не сами сессионные ключи, а их отпечатки; неудачные попытки входа ограничиваются;
• запросы в Учётную систему подписываются, повторная отправка одного и того же обращения не создаёт дублей;
• заявки с признаками автоматической отправки помечаются, а не удаляются, — чтобы решение можно было проверить;
• ведётся журнал согласий с версией документа (раздел 7);
• сотрудники, работающие с заявками, обязаны хранить конфиденциальность; доступ предоставляется в объёме обязанностей;
• Политика и перечень собираемых данных пересматриваются при каждом изменении Сайта, затрагивающем обработку данных.

Оператор не обещает мер, которых на Сайте нет: сведения в базе данных Сайта не шифруются на уровне хранения; защита обеспечивается ограничением доступа к серверу и базе, описанным выше.

12. Права субъекта персональных данных

Субъект персональных данных вправе (статьи 14, 20 и 21 Федерального закона № 152-ФЗ):

• получить информацию об обработке его данных: подтверждение факта обработки, цели, правовые основания, способы, перечень данных, источник их получения, сроки обработки и хранения, сведения о получателях, порядок реализации прав;
• получить доступ к своим данным, потребовать их уточнения, если они неполны, неточны или неактуальны, блокирования на время проверки или уничтожения, если данные получены незаконно или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных, на статистику куки или на рассылки — по отдельности;
• отказаться от рекламных сообщений в любой момент;
• обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в суд.

Как направить запрос

Запрос направляется на электронную почту info@gen-a.ru с темой «Обращение по вопросам персональных данных» либо письмом по адресу Оператора (в конце документа). В запросе нужно указать имя, контакт для ответа, сведения, позволяющие найти обращение (номер телефона или адрес электронной почты, указанные в заявке, примерная дата), и содержание требования. Оператор вправе запросить сведения, подтверждающие, что запрос направил сам субъект или его представитель.

Сроки

• информация об обработке предоставляется в течение десяти рабочих дней с даты получения запроса; срок может быть продлён не более чем на пять рабочих дней с направлением мотивированного уведомления;
• неполные, неточные или неактуальные данные уточняются, а незаконно полученные или ненужные для цели — уничтожаются в течение семи рабочих дней с даты предоставления подтверждающих сведений;
• при отзыве согласия обработка прекращается, а данные уничтожаются в срок, не превышающий тридцати дней с даты получения отзыва, если для их обработки нет иного законного основания.

Что происходит после отзыва согласия

Заявка, переписка и связанные с ними технические сведения удаляются или обезличиваются в базе Сайта; Оператор обеспечивает удаление обращения и в Учётной системе. Запись в журнале согласий о том, что согласие было дано и отозвано, сохраняется: она подтверждает законность обработки до отзыва. Отзыв согласия на статистику куки выполняется самим Посетителем через «Настройки куки» в подвале Сайта: после выбора «Только необходимое» события не собираются, а куки статистики удаляются. Отзыв не влияет на законность обработки, выполненной до его получения.

13. Обязанности Оператора

Оператор обязуется:

• обрабатывать персональные данные только для целей раздела 6 и в объёме раздела 5;
• не раскрывать данные третьим лицам без законного основания и не распространять их;
• по запросу субъекта предоставлять информацию об обработке, уточнять, блокировать и уничтожать данные в сроки раздела 12;
• прекращать обработку и уничтожать данные при отзыве согласия, если нет иного законного основания;
• обеспечивать безопасность данных мерами раздела 11 и уведомлять уполномоченный орган и субъектов об инцидентах в случаях и в порядке, установленных законом;
• публиковать действующую редакцию Политики на Сайте и указывать редакцию в журнале согласий;
• отвечать на обращения субъектов по адресам, указанным в конце документа.

Оператор вправе: запрашивать у субъекта сведения, необходимые для подтверждения его личности при рассмотрении запроса; продолжать обработку после отзыва согласия в случаях, прямо предусмотренных законом; вносить изменения в Политику (раздел 15).

14. Куки и локальное хранилище браузера

Сайт использует собственные куки и локальное хранилище браузера. Сторонние куки появляются только при загрузке карты Яндекса (раздел 9) и только после согласия или нажатия «Показать карту». Куки Сайта действуют только на его адресе, не передаются другим сайтам и делятся на две группы.

Необходимые — работают всегда

Это то, без чего Сайт не работает лично для Посетителя: они запоминают его собственный выбор и позволяют показать ему его собственную переписку. Ничего из этой группы не сообщает Оператору, что Посетитель смотрел и куда нажимал.

Уведомления об ответе — только по нажатию «Включить»

Если Посетитель включил уведомления в окне чата, браузер устанавливает для Сайта фоновый обработчик уведомлений (service worker, файл /chat-sw.js). Он ничего не сохраняет и не перехватывает запросы к Сайту: его единственная задача — показать уведомление «Менеджер ответил в чате» и открыть чат по нажатию. Посетителю, который уведомлений не включал, обработчик не устанавливается.

Статистика — только после «Принять»

События статистики (раздел 5) в куки не хранятся: они отправляются на сервер Сайта и учитываются там вместе с идентификатором посетителя.

Сторонние

Как управлять

• выбрать «Только необходимое» в баннере — статистика не собирается, sw_attr не выставляется;
• ссылка «Настройки куки» в подвале Сайта сбрасывает прежний ответ и показывает баннер заново;
• все куки и локальное хранилище Сайта можно удалить в настройках браузера; после удаления баннер появится снова, а окно чата откроется без прежней переписки, пока браузер не получит новый идентификатор.
• уведомления об ответе отключаются в настройках браузера (разрешения для сайта stf1.ru): после отзыва разрешения подписка удаляется при следующей попытке доставки; звук в чате выключается кнопкой-динамиком в шапке окна чата.

Отключение необходимых куки средствами браузера сделает недоступным чат (переписку будет не к чему привязать) и потребует отвечать на баннер при каждом посещении; остальные страницы Сайта продолжат открываться.

15. Заключительные положения

Оператор вправе изменять Политику при изменении законодательства, состава собираемых данных, целей или способов обработки, получателей данных или мер защиты. Новая редакция публикуется на Сайте с указанием даты; версия документа, действовавшая в момент согласия, записывается в журнал согласий и не меняется задним числом.

Если отдельное положение Политики признано недействительным, остальные положения сохраняют силу. Во всём, что не урегулировано Политикой, применяется законодательство Российской Федерации.

Вопросы по Политике направляются на info@gen-a.ru или письмом по адресу Оператора.