Политика в отношении обработки персональных данных

1. Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных ООО «Строительные технологии» (далее - «Оператор») при использовании сайта https://kapi.ru, личного кабинета и сервиса KAPI.

Политика разработана в соответствии с законодательством Российской Федерации, включая Федеральный закон от 27.07.2006 N 152-ФЗ «О персональных данных».

Политика применяется к информации, относящейся к прямо или косвенно определенному или определяемому физическому лицу. Сведения только о юридическом лице персональными данными не являются; сведения о его представителях могут являться персональными данными.

Оператор обеспечивает неограниченный доступ к Политике путем ее размещения на сайте.

2. Категории субъектов

• посетители сайта;
• лица, направившие заявку на демонстрацию или подключение;
• зарегистрированные пользователи и представители организаций-клиентов;
• представители поставщиков и иных контрагентов, участвующие в переписке;
• плательщики и представители организаций, использующих платные функции.

3. Состав обрабатываемых персональных данных

• фамилия, имя, отчество при наличии, адрес электронной почты и номер телефона;
• роль пользователя, код приглашения, идентификатор аккаунта, хеш пароля и иные данные аутентификации;
• наименование и адрес организации, должность или роль представителя, карточка организации и содержащиеся в ней контактные сведения;
• данные заявки на демонстрацию: имя, компания, email, телефон, комментарий и сведения обращения;
• данные закупочной заявки: наименование товара, количество, город или регион доставки, дополнительные требования;
• входящие и исходящие сообщения, файлы, контактные сведения поставщиков и сведения о статусе переписки;
• платежные идентификаторы, сумма и статус платежа, сведения плательщика в необходимом объеме; реквизиты банковских карт Оператор не хранит;
• технические данные: IP-адрес, user-agent, технические cookie/JWT, аналитические cookie и идентификаторы Яндекс Метрики при согласии на их использование, дата и время действий, журналы событий и ошибок.

Оператор не ставит целью обработку специальных категорий и биометрических персональных данных. Пользователь не должен передавать такие сведения через формы, сообщения или файлы сервиса.

4. Цели и правовые основания обработки

5. Действия и способы обработки

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

Обработка осуществляется автоматизированным и смешанным способом, с передачей по внутренней сети Оператора и по сети Интернет.

Распространение персональных данных не осуществляется, если отсутствует отдельное законное основание.

6. Привлеченные лица и сервисы

Передача осуществляется только в объеме, необходимом для соответствующей цели, на основании договора, поручения на обработку, условий сервиса либо иного законного основания. Конкретный состав привлеченных лиц может изменяться; актуальные сведения предоставляются субъекту по запросу.

7. Локализация и использование внешних ИИ-сервисов

7.1. Локализация баз данных

При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

7.2. Российская инфраструктура и ИИ-сервисы

Основная инфраструктура размещена в Российской Федерации у Timeweb Cloud; для отдельных процессов используются российские сервисы Яндекса, включая Yandex Cloud, Yandex AI Studio и Yandex Vision OCR.

7.3. Минимизация данных при ИИ-обработке

В Yandex AI Studio и связанные сервисы Яндекса передаются только сведения, необходимые для конкретной операции: параметры закупки, текст запроса или письма, ответы поставщиков, вложения и контактные сведения в объеме, который нужен для структурирования заявки, подготовки письма, анализа ответа или формирования отчета.

Оператор не передает в ИИ-сервисы данные, не относящиеся к выполняемой функции, и по возможности исключает из запросов избыточные персональные данные.

7.4. Изменение состава внешних сервисов

Передача персональных данных в иностранные ИИ-сервисы в рамках текущей опубликованной конфигурации не осуществляется. До изменения состава передаваемой информации или подключения иностранного сервиса Оператор обязан провести правовую и техническую оценку и, при необходимости, выполнить требования статьи 12 Федерального закона N 152-ФЗ.

8. Cookie, JWT и Яндекс Метрика

Сайт использует технические cookie, JWT и аналогичные технологии, необходимые для авторизации, защиты сессии, предотвращения злоупотреблений и работы личного кабинета. Без таких файлов отдельные функции сайта и сервиса могут быть недоступны.

На сайте также может использоваться Яндекс Метрика для веб-аналитики: оценки посещаемости, источников перехода, кликов, внешних ссылок, поведения посетителей на страницах, технических параметров браузера и устройства, а также улучшения сайта и пользовательских сценариев.

Яндекс Метрика может использовать cookie, веб-маяки, пиксельные теги и иные аналогичные технологии, а также обрабатывать IP-адрес, user-agent, адрес страницы, реферер, дату и время посещения и идентификаторы счетчика. Обработка таких данных осуществляется в соответствии с документами Яндекса и настройками счетчика.

В уведомлении о cookie формулировка «рекомендательные технологии» используется как краткое обозначение аналитических cookie, Яндекс Метрики и аналогичных технологий, описанных в настоящем разделе.

Аналитические cookie и технологии Яндекс Метрики подключаются на сайте после нажатия посетителем кнопки «Хорошо» в уведомлении о cookie.

Пользователь может удалить или ограничить cookie средствами браузера. После удаления или блокировки технических cookie может потребоваться повторная авторизация, а отдельные функции сервиса могут стать недоступны.

9. Сроки хранения и уничтожение

• данные аккаунта - в течение использования сервиса и до 3 лет после удаления аккаунта или прекращения договора;
• заявки на демонстрацию и подключение - до 1 года после последнего взаимодействия либо до отзыва согласия;
• закупочные заявки, переписка и документы - в течение договора и до 3 лет после его прекращения;
• технические журналы - до 1 года, если больший срок не требуется для расследования инцидента или защиты прав;
• платежные и учетные документы - в сроки, установленные законодательством Российской Федерации;
• резервные копии - до 90 дней после удаления данных из рабочей системы.

По достижении цели обработки, отзыве согласия или поступлении законного требования данные удаляются или уничтожаются в сроки, установленные законом, если отсутствует иное законное основание для их хранения.

10. Защита персональных данных

• назначение ответственного лица и принятие локальных актов;
• разграничение прав и доступ только уполномоченных администраторов;
• HTTPS и защищенные каналы передачи;
• хеширование паролей, JWT Double Submit и иные механизмы защиты сессии;
• резервное копирование, контроль восстановления и журналирование;
• оценка вреда и рисков, реагирование на инциденты, блокирование и уничтожение данных;
• контроль привлеченных лиц и договорных требований к обработке и защите данных.

11. Права субъекта

Субъект вправе получать сведения об обработке, требовать уточнения, блокирования или уничтожения данных, отзывать согласие, потребовать прекращения обработки, а также обжаловать действия Оператора в Роскомнадзор или суд.

Обращение направляется на Leningrad18@yandex.ru либо по адресу: 440000, Пензенская область, г. Пенза, ул. Старо-Черкасская, стр. 11А, помещ. 10. Для исполнения запроса Оператор вправе запросить сведения, необходимые для подтверждения личности и полномочий заявителя.

12. Изменение Политики

Новая редакция действует с момента размещения на https://kapi.ru, если в ней не указана иная дата. О существенных изменениях Оператор может сообщить через интерфейс сервиса или сервисное письмо.