Политика обработки персональных данных

ООО «Астра Парадигм» · сервис TidalMail

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о ПДн») и определяет принципы, цели, условия и способы обработки персональных данных Обществом с ограниченной ответственностью «Астра Парадигм» (ОГРН 1127746469718, ИНН 7713749814, далее — «Компания»), а также сведения о реализуемых требованиях к защите персональных данных.

1.2. Политика является общедоступным документом и публикуется по адресу https://tidal.email/privacy.html в соответствии с ч. 2 ст. 18.1 Закона о ПДн.

1.3. Действие Политики распространяется на информацию, которую Компания обрабатывает в связи с предоставлением сервиса TidalMail (далее — «Сервис»).

1.4. Ключевое положение. Компания выступает в двух различных правовых статусах, объём её обязанностей и ответственности в каждом из них различен. Разграничение приведено в разделе 2 настоящей Политики и является определяющим для толкования всех последующих разделов.

2. Разграничение ролей и ответственности

2.1. Компания как Оператор

Компания является Оператором персональных данных исключительно в отношении:

• представителей клиентов и контрагентов Компании (контактных лиц судоходных компаний);
• посетителей сайта https://tidal.email/ и лиц, обращающихся в Компанию;
• работников Компании.

В этой части Компания самостоятельно определяет цели и состав обрабатываемых данных и исполняет все обязанности Оператора, предусмотренные Законом о ПДн.

2.2. Компания как лицо, осуществляющее обработку по поручению

В отношении персональных данных, обрабатываемых посредством Сервиса (членов экипажей, работников и контрагентов клиента, иных лиц), Оператором является клиент Компании — судоходная компания. Компания осуществляет обработку таких данных исключительно по поручению Оператора в соответствии с ч. 3 ст. 6 Закона о ПДн, в объёме и на условиях, установленных договором с клиентом.

Компания не определяет цели обработки, состав обрабатываемых данных, сроки их хранения и круг субъектов, не собирает согласия субъектов персональных данных и не вступает с ними в отношения. Указанные вопросы относятся к компетенции клиента-Оператора.

2.3. Распределение обязанностей

2.4. Ответственность

В соответствии с ч. 3 ст. 6 Закона о ПДн ответственность перед субъектом персональных данных за действия лица, осуществляющего обработку по поручению, несёт Оператор. Компания несёт ответственность перед Оператором в пределах, установленных договором и законодательством.

Компания отвечает за исполнение принятых на себя обязанностей по обеспечению безопасности персональных данных. Компания не отвечает за наличие у клиента-Оператора правовых оснований обработки, за полноту исполнения им обязанностей Оператора, а также за содержание и состав данных, размещаемых клиентом и его пользователями в Сервисе.

3. Принципы обработки

В обоих статусах Компания соблюдает принципы, установленные ст. 5 Закона о ПДн:

• обработка на законной и справедливой основе;
• ограничение обработки достижением конкретных, заранее определённых и законных целей;
• недопустимость обработки, несовместимой с целями сбора;
• соответствие содержания и объёма данных заявленным целям;
• точность, достаточность и актуальность данных;
• хранение в форме, позволяющей определить субъекта, не дольше, чем требуют цели обработки.

4. Правовые основания

4.1. При обработке в статусе Оператора

• Конституция Российской Федерации; Гражданский кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ; Федеральный закон от 27.07.2006 № 149-ФЗ;
• Устав Компании; Трудовой кодекс Российской Федерации — в отношении работников;
• договоры с клиентами и контрагентами; публичная оферта Компании;
• согласия субъектов персональных данных, полученные Компанией.

4.2. При обработке по поручению

Единственным основанием обработки является поручение клиента-Оператора, оформленное договором в соответствии с ч. 3 ст. 6 Закона о ПДн. Наличие правовых оснований для передачи данных в обработку обеспечивает клиент-Оператор.

5. Категории субъектов и состав данных

5.1. Обрабатываемые Компанией как Оператором

• фамилия, имя, отчество; должность, наименование организации;
• контактные данные: адрес электронной почты, телефон;
• IP-адрес, идентификаторы устройств, технические данные о посещении сайта, журналы доступа.

5.2. Обрабатываемые по поручению клиента-Оператора

Состав определяется клиентом-Оператором и действиями его пользователей. Технически Сервис способен обрабатывать:

• адреса электронной почты, привязанные к судам клиента;
• учётные данные: логин, хэш пароля, токены аутентификации;
• метаданные корреспонденции: адреса отправителей и получателей, темы, время, размер, статусы доставки;
• содержимое корреспонденции и вложений — обеспечивается хранение и доставка без использования по существу;
• сведения из суточных отчётов и судовых документов, включая фамилию и инициалы капитана, данные о рейсе, грузе, остатках и расходе топлива, параметрах работы механизмов;
• географические координаты и данные о перемещении судна, время фиксации;
• содержимое переписки по судовым заявкам и документам, включая вложения;
• IP-адреса подключений, страна подключения, журналы доступа и действий пользователей;
• результаты диагностических проверок судового оборудования, журналы работы судового ПО, статистика трафика.

Компания не осуществляет обработку специальных категорий персональных данных и биометрических персональных данных. Если такие данные размещены клиентом или его пользователями в Сервисе, наличие законных оснований их обработки обеспечивает клиент-Оператор; Компания состав размещаемых данных не контролирует и не проверяет.

6. Цели обработки

6.1. Цели Компании как Оператора

• заключение, исполнение и прекращение договоров с клиентами и контрагентами;
• осуществление расчётов; ответы на обращения посетителей сайта и клиентов;
• исполнение обязанностей работодателя; исполнение требований законодательства.

6.2. Цели обработки по поручению

Цели определяются клиентом-Оператором. Компания осуществляет обработку исключительно для обеспечения функционирования Сервиса в объёме поручения: передача, хранение и доставка корреспонденции и документов; идентификация и аутентификация пользователей клиента; обеспечение технической работоспособности и безопасности Сервиса. Использование данных в собственных целях Компании, в том числе для формирования профилей, маркетинга или обучения программных моделей, не осуществляется.

7. Порядок и условия обработки

7.1. Обработка осуществляется с использованием средств автоматизации и без таковых и включает: сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, блокирование, удаление, уничтожение.

7.2. Локализация. Хранение и обработка персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации, в соответствии с ч. 5 ст. 18 Закона о ПДн.

7.3. Трансграничная передача. Компания не осуществляет трансграничную передачу персональных данных.

7.4. Передача обезличенных сведений внешним сервисам. Для работы отдельных функций Сервиса Компания направляет внешним поставщикам сведения, не относящиеся к персональным данным: поставщику метеорологических данных — географические границы района прогноза без сведений о судне, рейсе и экипаже; поставщику сервиса автоматизированного анализа рейсов — обезличенные числовые ряды (суточный расход топлива, ходовые часы, пройденное расстояние, параметры механизмов) без наименования и идентификаторов судна, без координат, без фамилий и без содержимого корреспонденции, с заменой наименований портов условными обозначениями. По требованию клиента-Оператора функция автоматизированного анализа отключается либо переводится на поставщика, размещённого на территории Российской Федерации.

7.5. Сроки хранения. При обработке по поручению сроки хранения определяются клиентом-Оператором в пределах, предусмотренных договором и настройками Сервиса. Содержимое сообщений и файлы вложений удаляются по истечении установленного срока хранения, метаданные сохраняются. После прекращения договора данные удаляются или обезличиваются в течение 30 (тридцати) календарных дней, за исключением сведений, обязательных к хранению в силу законодательства.

7.6. Передача третьим лицам. Персональные данные третьим лицам не передаются, за исключением случаев, предусмотренных законодательством, и привлечения провайдеров вычислительной инфраструктуры на территории Российской Федерации на условиях соблюдения требований к защите персональных данных.

8. Меры защиты

Обеспечение безопасности персональных данных — обязанность, которую Компания принимает на себя в полном объёме в обоих статусах в соответствии со ст. 18.1 и 19 Закона о ПДн.

8.1. Правовые и организационные меры

• назначение лица, ответственного за организацию обработки персональных данных;
• принятие локальных актов по вопросам обработки и защиты персональных данных;
• ограничение круга лиц, имеющих доступ к персональным данным, приказом;
• ознакомление работников с требованиями законодательства о персональных данных;
• определение угроз безопасности персональных данных при их обработке.

8.2. Технические меры

• передача данных по защищённым каналам: IMAP/SSL, SMTP STARTTLS, HTTPS;
• хранение паролей внешних почтовых ящиков в зашифрованном виде, паролей пользователей — в виде необратимых хэшей;
• ограничение срока хранения содержимого сообщений и вложений;
• разграничение прав доступа на основе ролевой модели: администратор, оператор, оператор документов, наблюдатель, владелец флота; служебная зона поставщика отделена от зоны клиента;
• аутентификация пользователей и судов на основе токенов; ротация и отзыв учётных данных судна;
• отсутствие систематического просмотра содержимого: доступ технических специалистов Компании к содержимому возможен только по письменному запросу клиента-Оператора, в минимально необходимом объёме, с фиксацией в журнале аудита;
• уведомление клиента-Оператора о выявленных фактах неправомерного доступа в течение 24 часов;
• ведение журналов аудита действий пользователей и сессий;
• резервное копирование данных; защита от несанкционированного доступа;
• регулярная актуализация мер защиты в соответствии с актуальными угрозами.

9. Права субъектов и порядок обращений

Субъект персональных данных имеет права, предусмотренные ст. 14 Закона о ПДн: получать информацию об обработке своих данных; требовать их уточнения, блокирования или уничтожения; отозвать согласие; обжаловать действия в Роскомнадзор или в суд; на защиту своих прав и законных интересов.

9.1. Обращения по данным, обрабатываемым Компанией как Оператором

Направляются по адресу info@tidal.email с указанием сведений, необходимых для идентификации субъекта. Срок рассмотрения — 10 (десять) рабочих дней, с возможностью продления не более чем на 5 (пять) рабочих дней.

9.2. Обращения по данным, обрабатываемым по поручению

Обращения субъектов, чьи данные обрабатываются посредством Сервиса по поручению клиента-Оператора (члены экипажей, работники и контрагенты клиента), рассматриваются соответствующим Оператором — судоходной компанией, которой принадлежит почтовый ящик. Компания не вправе самостоятельно предоставлять сведения, изменять, блокировать или удалять такие данные без указания Оператора.

При поступлении обращения непосредственно в Компанию оно переадресуется соответствующему Оператору в течение 5 (пяти) рабочих дней с уведомлением обратившегося лица. Компания оказывает Оператору необходимое содействие в рассмотрении обращения.

10. Ответственное лицо и контакты

Лицо, ответственное за организацию обработки персональных данных, назначено приказом Компании в соответствии с п. 1 ч. 1 ст. 18.1 Федерального закона № 152-ФЗ. Сведения об ответственном лице предоставляются по запросу уполномоченного органа, а также клиентам Компании в порядке, предусмотренном договором.

Контакт для обращений по вопросам обработки персональных данных: info@tidal.email

11. Изменение политики

Компания вправе вносить изменения в настоящую Политику. Действующая редакция размещается по адресу https://tidal.email/privacy.html и вступает в силу с момента публикации.