Политика конфиденциальности и информационной безопасности

Оператор персональных данных: Индивидуальный предприниматель Крыжановский Вадим Викторович, ИНН 615493117358, ОГРНИП 326619600167609, адрес: 347910, Россия, Ростовская обл., г. Таганрог, ул. Ленина, д. 176.

Политика описывает, какие данные обрабатывает сервис «Смено» (смено.рф), с какой целью, как они защищаются и как передаются платёжные данные. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Используя сервис или отправляя заявку на демо, пользователь подтверждает согласие с настоящей Политикой.

Данные владельца аккаунта: имя, номер телефона (он же логин), название организации, точки, тариф и история платежей.

Данные сотрудников, которые владелец вносит сам: имя, номер телефона, роль, ставка за смену, смены и суммы к выдаче.

Данные заявки на демо: имя, номер телефона, число точек, текущий инструмент учёта, текст сообщения.

Технические данные: IP-адрес и user-agent сессии входа (для защиты аккаунта), служебные журналы сервера.

Сервис не обрабатывает данные банковских карт — они вводятся на стороне банка (см. раздел 6).

Предоставление доступа к сервису и исполнение договора (публичной оферты) — основание: исполнение договора, ст. 6 ч. 1 п. 5 152-ФЗ.

Ведение расчётов смен и зарплаты внутри организации пользователя — по поручению пользователя как оператора данных своих сотрудников.

Приём оплаты и формирование чеков — исполнение требований законодательства о применении ККТ.

Связь по заявке на демо и поддержка — на основании согласия, выраженного отправкой заявки.

Данные не используются для рекламных рассылок третьих лиц и не продаются.

АО «ТБанк» — при оплате подписки, в объёме, необходимом для проведения платежа и формирования чека (сумма, назначение платежа, контактные данные плательщика).

Хостинг-провайдер — размещение сервера. Все данные хранятся и обрабатываются на серверах на территории Российской Федерации.

Государственным органам — только в случаях и объёме, прямо предусмотренных законом.

Иным третьим лицам данные не передаются.

Оператор применяет организационные и технические меры защиты данных от неправомерного доступа, изменения, уничтожения и распространения:

• весь трафик сайта передаётся только по HTTPS (TLS), доступ по HTTP принудительно перенаправляется на защищённое соединение
• пароли пользователей не хранятся в открытом виде — хранится только необратимый хеш (bcrypt); восстановить пароль из базы невозможно
• пароль сотрудника показывается владельцу один раз при создании аккаунта и не сохраняется в открытом виде ни в базе, ни в журналах
• разграничение доступа по ролям (сотрудник, управляющий, владелец): каждый видит только те данные, которые нужны для его роли
• изоляция данных между организациями: запросы всегда ограничены организацией текущего пользователя
• сессии входа привязаны к подписанной cookie с флагом httponly и имеют ограниченный срок жизни; защита форм от CSRF включена
• секреты (ключи эквайринга, ключи приложения) хранятся в шифрованных Rails credentials, а не в коде и не в переменных окружения репозитория
• доступ к серверу — только по SSH-ключам, с ограниченным кругом администраторов; ведутся резервные копии базы данных

О выявленных инцидентах, затрагивающих данные пользователей, оператор уведомляет затронутых пользователей по контактам аккаунта.

Оплата подписки проводится на защищённой платёжной странице АО «ТБанк», сертифицированного по стандарту PCI DSS.

Номер карты, срок действия и CVC/CVV вводятся непосредственно на стороне банка. Эти данные не проходят через сайт смено.рф, не сохраняются и не доступны оператору ни в каком виде.

• соединение с платёжной страницей защищено протоколом TLS; передача конфиденциальных данных плательщика происходит только внутри защищённого канала банка
• сервис получает от банка лишь идентификатор платежа, сумму и статус операции
• уведомления банка о статусе платежа принимаются только с проверкой подписи (токена), сформированной на секретном ключе терминала: подделать уведомление об оплате нельзя
• оператор не имеет технической возможности списать средства повторно без нового подтверждённого платежа плательщика

Возврат средств производится тем же способом, которым была произведена оплата — на карту плательщика (порядок описан в разделе 6 оферты).

Данные аккаунта и рабочие данные организации хранятся, пока действует аккаунт, и до 12 месяцев после прекращения подписки — чтобы пользователь мог вернуться без потери истории.

Данные о платежах и чеках хранятся в сроки, установленные налоговым законодательством (не менее 5 лет).

Данные заявки на демо хранятся до 12 месяцев с момента обращения.

По письменному обращению данные аккаунта удаляются досрочно, кроме тех, которые оператор обязан хранить по закону.

Пользователь вправе запросить сведения об обработке своих данных, потребовать их уточнения, блокирования или удаления, а также отозвать согласие на обработку.

Обращение направляется на 777vadimvk@gmail.com. Ответ предоставляется в течение 10 рабочих дней. Отзыв согласия, необходимого для работы аккаунта, означает прекращение доступа к сервису.

Сервис использует только технически необходимые cookies: подписанный идентификатор сессии для входа и служебные cookies защиты форм. Рекламные и сторонние трекеры не устанавливаются.

Вопросы по обработке данных: 777vadimvk@gmail.com, телефон +7 961 294-33-38.

Новая редакция политики публикуется на этой странице и действует с даты публикации.