Политика обработки персональных данных

1. Общие положения

1.1. Политика применяется к персональным данным, которые обрабатываются при использовании сайта, CRM-системы, а также при взаимодействии с лицом, предоставляющим Сервис.

1.2. Политика распространяется на следующие категории лиц:

• индивидуальных предпринимателей и организаций, использующих CRM-систему;
• работников и иных уполномоченных пользователей CRM-системы;
• клиентов станций технического обслуживания автомобилей, сведения о которых вносятся в CRM-систему;
• лиц, обращающихся к владельцу Сервиса по вопросам подключения, использования, оплаты и технической поддержки CRM-системы;
• посетителей сайта Сервиса, если при его использовании обрабатываются их персональные данные.

1.3. Настоящая Политика не отменяет и не заменяет обязанности иных операторов персональных данных, в том числе станций технического обслуживания автомобилей, использующих CRM-систему для работы со своими клиентами.

1.4. Используя сайт или CRM-систему, пользователь может ознакомиться с настоящей Политикой в любое время. Если для конкретной операции законодательство требует получения согласия на обработку персональных данных, такое согласие оформляется отдельно в предусмотренной законом форме. Само по себе ознакомление с Политикой не означает автоматического предоставления согласия на обработку персональных данных.

2. Сведения об операторе персональных данных

2.1. Оператором персональных данных в рамках тех операций, для которых он самостоятельно определяет цели и способы обработки, является:

2.2. По вопросам обработки персональных данных, защиты прав субъектов персональных данных, уточнения, блокирования или удаления данных можно обратиться по указанным выше контактам с пометкой «Обработка персональных данных».

2.3. В отношении персональных данных клиентов СТО, которые СТО самостоятельно вносит в CRM-систему и использует для организации ремонта, учёта заказов и обслуживания автомобилей, оператором, как правило, является соответствующая СТО, определяющая цели и состав обработки. В таком случае ИП, предоставляющий CRM-систему, обрабатывает эти данные по поручению СТО в пределах договора и настроек Сервиса, если фактические обстоятельства не предусматривают иного.

2.4. В отношении персональных данных пользователей CRM-системы, представителей СТО, контрагентов и лиц, которые непосредственно обращаются к владельцу Сервиса, ИП может выступать самостоятельным оператором в пределах целей, указанных в настоящей Политике.

3. Основные понятия

3.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.

3.2. Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, предоставление доступа, обезличивание, блокирование, удаление и уничтожение.

3.3. Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

3.4. Пользователь CRM-системы — лицо, которому СТО или владелец Сервиса предоставили доступ к CRM-системе.

3.5. СТО — станция технического обслуживания автомобилей, использующая CRM-систему для организации своей деятельности.

3.6. Поручение на обработку персональных данных — предусмотренное законодательством и договором основание, по которому владелец CRM-системы обрабатывает персональные данные в интересах и по указанию соответствующей СТО.

4. Категории обрабатываемых персональных данных

4.1. В зависимости от характера взаимодействия могут обрабатываться следующие категории данных.

4.1.1. Данные представителей клиентов — СТО и пользователей CRM-системы:

• фамилия, имя, отчество;
• номер телефона;
• адрес электронной почты;
• наименование СТО и должность пользователя;
• сведения об учётной записи, логине и правах доступа;
• сведения о действиях в CRM-системе, необходимые для обеспечения безопасности и расследования технических инцидентов;
• сведения о договорах, обращениях, оплатах и технической поддержке, если они необходимы для исполнения договорных обязательств.

4.1.2. Данные клиентов СТО, вносимые в CRM-систему самой СТО:

• фамилия, имя, отчество;
• номер телефона;
• адрес электронной почты, если он предоставлен;
• сведения об автомобиле: марка, модель, год выпуска, государственный регистрационный номер, VIN, пробег и иные технические сведения, если соответствующие поля используются СТО;
• сведения о заявках, заказах-нарядах, записи на обслуживание, выполненных работах, диагностике, ремонте, заказанных деталях, стоимости работ и истории обслуживания;
• сведения о статусе заказа и взаимодействии с клиентом, необходимые для обслуживания.

4.1.3. Технические данные:

• IP-адрес;
• дата и время входа в CRM-систему;
• сведения о браузере, устройстве и технических параметрах соединения, если они фиксируются системой;
• журналы событий, ошибки, сведения о запросах и действиях, необходимые для работы и защиты Сервиса.

4.2. Владелец CRM-системы не устанавливает обязательность заполнения всех перечисленных полей. Конкретный состав данных клиентов СТО зависит от функциональности CRM-системы и информации, которую СТО самостоятельно вносит в неё.

4.3. Через CRM-систему не следует вносить специальные категории персональных данных, в том числе сведения о здоровье, политических взглядах, религиозных убеждениях, интимной жизни, а также биометрические персональные данные, если для такой обработки отсутствует самостоятельное законное основание и соответствующая функциональность.

4.4. Владелец Сервиса не ставит целью собирать избыточные данные и рекомендует СТО вносить только сведения, необходимые для конкретной цели обслуживания клиента.

5. Цели обработки персональных данных

5.1. Персональные данные представителей СТО и пользователей CRM-системы могут обрабатываться для следующих целей:

• заключение, исполнение и прекращение договора на предоставление CRM-системы;
• регистрация пользователей и создание учётных записей;
• предоставление доступа к функциям Сервиса;
• администрирование учётных записей и разграничение прав доступа;
• обработка обращений, запросов и заявок на техническую поддержку;
• информирование об изменениях, связанных с работой Сервиса, технических работах и безопасности;
• расчёты, выставление счетов, подтверждение платежей и ведение учёта в пределах, необходимых для исполнения договора и требований законодательства;
• обеспечение стабильной и безопасной работы CRM-системы;
• предотвращение несанкционированного доступа, выявление сбоев и расследование инцидентов;
• исполнение обязанностей, предусмотренных законодательством Российской Федерации;
• защита законных прав и интересов владельца Сервиса в предусмотренных законом случаях.

5.2. Персональные данные клиентов СТО, которые вносятся в CRM-систему, могут обрабатываться для:

• ведения клиентской базы соответствующей СТО;
• регистрации обращений и записи на обслуживание;
• создания и ведения заказов-нарядов;
• учёта автомобилей, выполненных работ, использованных материалов и деталей;
• ведения истории обслуживания и ремонта;
• контроля статусов заказов;
• связи с клиентом по вопросам его заявки, ремонта, готовности автомобиля и иных действий, связанных с обслуживанием;
• формирования отчётов и выполнения иных функций CRM-системы по указанию СТО.

5.3. Владелец CRM-системы не использует клиентские базы СТО для самостоятельной рекламной рассылки, продажи баз или иных не связанных с предоставлением Сервиса целей, если для соответствующей самостоятельной обработки отсутствует отдельное законное основание.

5.4. Если владелец Сервиса планирует использовать персональные данные для новой цели, не совместимой с первоначальной целью обработки, такая обработка осуществляется только при наличии предусмотренного законом основания.

6. Правовые основания обработки

6.1. Обработка персональных данных владельцем Сервиса осуществляется при наличии оснований, предусмотренных законодательством Российской Федерации, в зависимости от конкретной цели и характера взаимодействия, в том числе:

• согласия субъекта персональных данных, когда оно требуется;
• необходимости заключения или исполнения договора, стороной или выгодоприобретателем по которому является субъект персональных данных;
• необходимости исполнения обязанностей, возложенных на оператора законодательством Российской Федерации;
• иных предусмотренных законом оснований.

6.2. Обработка персональных данных клиентов СТО владельцем CRM-системы осуществляется в рамках поручения соответствующей СТО и договора между владельцем CRM-системы и СТО, при условии наличия у СТО законного основания для обработки этих данных и предоставления необходимых прав и поручений.

6.3. СТО самостоятельно отвечает за наличие правового основания для получения и внесения данных своих клиентов в CRM-систему, а также за предоставление клиентам информации об обработке их персональных данных в случаях, предусмотренных законом.

6.4. Если обработка основана на согласии субъекта персональных данных, такое согласие может быть отозвано в порядке, предусмотренном законодательством Российской Федерации. Отзыв согласия не исключает возможность продолжения обработки при наличии иного законного основания.

7. Порядок и способы обработки

7.1. Обработка персональных данных может осуществляться с использованием средств автоматизации, без использования таких средств либо смешанным способом.

7.2. В рамках целей, указанных в Политике, могут осуществляться следующие операции:

• получение и сбор данных;
• запись, систематизация и накопление;
• хранение;
• уточнение, обновление и изменение;
• извлечение и использование;
• предоставление доступа уполномоченным пользователям;
• передача лицам, привлекаемым для обеспечения работы Сервиса, если такая передача необходима и имеет законное основание;
• блокирование;
• обезличивание, если это применимо;
• удаление и уничтожение по достижении целей обработки или при наступлении иных законных оснований.

7.3. Владелец Сервиса не принимает решений, порождающих юридические последствия для субъекта персональных данных или иным образом существенно затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, если иное отдельно не предусмотрено законом и надлежащим образом не доведено до сведения субъекта.

8. Условия обработки данных клиентов СТО

8.1. СТО определяет, какие данные своих клиентов вносить в CRM-систему, для каких целей их использовать и кому из своих работников предоставлять доступ к таким данным, если иное не следует из фактических обстоятельств.

8.2. Владелец CRM-системы обрабатывает данные клиентов СТО только в объёме, необходимом для предоставления функциональности Сервиса, технического обслуживания, обеспечения безопасности, резервного копирования и исполнения поручения СТО.

8.3. Владелец CRM-системы не вправе самостоятельно определять новые цели использования данных клиентов СТО, если для такой обработки отсутствует отдельное законное основание.

8.4. СТО обязана:

• иметь законное основание для обработки данных своих клиентов;
• предоставлять клиентам необходимую информацию об обработке данных;
• ограничивать доступ к CRM-системе кругом уполномоченных лиц;
• обеспечивать актуальность и корректность вносимых сведений;
• своевременно обрабатывать обращения своих клиентов об уточнении, блокировании или удалении данных;
• сообщать владельцу CRM-системы о необходимых действиях с данными в пределах возможностей Сервиса и условий договора.

8.5. Если владелец CRM-системы получает непосредственно от клиента СТО обращение о его персональных данных, он вправе направить заявителя в соответствующую СТО как предполагаемого оператора либо передать обращение СТО в пределах допустимого законом и договором порядка.

9. Хранение персональных данных и локализация

9.1. Персональные данные хранятся в течение срока, необходимого для достижения целей обработки, исполнения договора, выполнения предусмотренных законом обязанностей и защиты законных интересов, после чего подлежат удалению или уничтожению, если отсутствуют иные законные основания для их дальнейшего хранения.

9.2. Основная база данных CRM-системы размещается на серверной инфраструктуре стороннего хостинг-провайдера, расположенной на территории Российской Федерации.

9.3. До публикации настоящей Политики владелец Сервиса проверяет фактическое расположение основной базы данных, резервных копий и иных инфраструктурных компонентов, если в них содержатся персональные данные. Указание территории Российской Федерации в настоящем разделе должно соответствовать фактической конфигурации Сервиса.

9.4. При сборе персональных данных граждан Российской Федерации посредством сети Интернет запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных осуществляются с соблюдением требований законодательства Российской Федерации о локализации персональных данных и применимых исключений из этих требований.

9.5. Доступ к базам данных и резервным копиям предоставляется только лицам, которым он необходим для выполнения рабочих обязанностей или обеспечения работы Сервиса.

9.6. Конкретные сроки хранения определяются с учётом цели обработки, срока действия договора, требований законодательства, характера данных и технических возможностей Сервиса. Данные, подлежащие хранению в силу закона или необходимые для разрешения спора, могут сохраняться в течение соответствующего обязательного срока.

9.7. После прекращения договора со СТО данные, размещённые в CRM-системе, удаляются, возвращаются СТО либо сохраняются в течение согласованного договором периода, если это предусмотрено договором и допускается законодательством. Данные могут сохраняться в резервных копиях в течение технически необходимого цикла резервного копирования, после чего удаляются или перезаписываются в соответствии с установленным порядком.

10. Передача данных третьим лицам

10.1. Владелец Сервиса не продаёт персональные данные пользователей или клиентов СТО.

10.2. Передача данных третьим лицам допускается только при наличии законного основания и в объёме, необходимом для соответствующей цели.

10.3. Для работы CRM-системы могут привлекаться:

• хостинг-провайдер, обеспечивающий размещение серверов и баз данных;
• подрядчики по техническому обслуживанию и сопровождению Сервиса;
• поставщики инфраструктурных и защитных решений, если они фактически используются;
• иные лица, участие которых необходимо для исполнения договора или требований законодательства.

10.4. Если третье лицо обрабатывает персональные данные по поручению владельца Сервиса либо СТО, соответствующие отношения оформляются договором или иным предусмотренным законом основанием с определением целей, перечня данных, операций обработки, требований конфиденциальности и мер безопасности.

10.5. Передача персональных данных государственным органам осуществляется в случаях и порядке, предусмотренных законодательством Российской Федерации.

10.6. Трансграничная передача персональных данных не осуществляется, если иное не будет прямо указано владельцем Сервиса после проверки используемой инфраструктуры и при соблюдении применимых требований законодательства.

11. Использование файлов cookie и технических данных

11.1. Сайт и CRM-система могут использовать технические данные, необходимые для авторизации пользователей, поддержания сессии, обеспечения безопасности, диагностики ошибок и стабильной работы Сервиса.

11.2. Если используются аналитические, рекламные или иные необязательные инструменты, которые собирают персональные данные или позволяют идентифицировать пользователя, их фактический состав и порядок использования должны быть определены владельцем Сервиса с учётом применимого законодательства и настроек соответствующих инструментов.

11.3. Технические данные не используются для целей, не связанных с работой, защитой и улучшением Сервиса, если для такой обработки отсутствует отдельное законное основание.

12. Меры по защите персональных данных

12.1. Владелец Сервиса принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

12.2. В зависимости от фактически реализованных функций защиты такие меры могут включать:

• разграничение доступа пользователей к данным;
• применение учётных записей и механизмов аутентификации;
• использование защищённых соединений при передаче данных;
• ограничение доступа к серверной инфраструктуре;
• резервное копирование и процедуры восстановления;
• ведение технических журналов и контроль событий безопасности;
• обновление программного обеспечения и устранение выявленных уязвимостей;
• установление обязанностей по конфиденциальности для лиц, имеющих доступ к данным;
• реагирование на инциденты информационной безопасности.

12.3. Конкретные меры определяются с учётом характера обрабатываемых данных, актуальных угроз, архитектуры CRM-системы и требований законодательства Российской Федерации.

12.4. Владелец Сервиса не указывает в настоящей Политике наличие технических или организационных мер, которые фактически не внедрены. Сведения о реализуемых мерах защиты уточняются в соответствии с действительной конфигурацией Сервиса и применимыми требованиями законодательства.

13. Права субъектов персональных данных

13.1. Субъект персональных данных имеет права, предусмотренные законодательством Российской Федерации, в том числе право:

• получать сведения об обработке его персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не необходимы для заявленной цели обработки;
• отозвать согласие на обработку персональных данных, если обработка осуществляется на основании согласия;
• возражать против обработки в случаях и порядке, предусмотренных законом;
• обращаться с жалобой в уполномоченный орган по защите прав субъектов персональных данных или в суд;
• пользоваться иными правами, предусмотренными законодательством Российской Федерации.

13.2. Для реализации своих прав субъект может направить обращение на адрес электронной почты mikhail.mayorov.04@inbox.ru либо по почтовому адресу, указанному в разделе 2 Политики.

13.3. Обращение должно позволять определить заявителя, суть запроса и данные, к которым относится запрос. При необходимости владелец Сервиса вправе запросить дополнительные сведения, необходимые для проверки полномочий заявителя, в пределах, допускаемых законом.

13.4. Обращения рассматриваются в сроки и порядке, установленные законодательством Российской Федерации.

13.5. Если обращение касается данных клиента конкретной СТО, а оператором этих данных является СТО, заявителю следует также обратиться непосредственно в соответствующую СТО. Владелец CRM-системы оказывает содействие СТО в обработке таких обращений в пределах договора, технических возможностей Сервиса и требований закона.

14. Порядок отзыва согласия и прекращения обработки

14.1. Если обработка персональных данных осуществляется на основании согласия субъекта, субъект вправе отозвать такое согласие, направив обращение:

• на электронную почту: mikhail.mayorov.04@inbox.ru;
• по почтовому адресу: улица Победы, 19, село Исаклы, Самарская область, 446570;
• иным способом, предусмотренным применимым договором или интерфейсом Сервиса.

14.2. В обращении рекомендуется указать фамилию, имя, отчество (если применимо), контактные данные для ответа, суть требования и, при наличии, сведения, позволяющие найти соответствующую учётную запись или запись в CRM-системе.

14.3. После получения отзыва согласия владелец Сервиса прекращает обработку, основанную исключительно на таком согласии, и уничтожает персональные данные в сроки, предусмотренные законодательством, если отсутствуют иные законные основания для продолжения обработки.

14.4. Отзыв согласия сам по себе не означает безусловного удаления всех данных, если их дальнейшая обработка или хранение допускаются либо требуются законом, необходимы для исполнения договора, выполнения обязательных требований учёта или защиты прав и законных интересов в предусмотренных законом случаях.

14.5. Если персональные данные внесены в CRM-систему СТО и обрабатываются по поручению СТО, запрос об отзыве согласия или удалении данных следует направить соответствующей СТО как оператору. Владелец CRM-системы выполняет полученные от СТО законные указания в пределах договора и технических возможностей Сервиса.

15. Обязанности владельца Сервиса и пользователей

15.1. Владелец Сервиса обязуется:

• обрабатывать персональные данные только при наличии законного основания;
• соблюдать конфиденциальность персональных данных;
• принимать необходимые меры для обеспечения безопасности персональных данных;
• предоставлять информацию об обработке в случаях, предусмотренных законом;
• рассматривать обращения субъектов персональных данных;
• прекращать обработку и удалять данные при наличии предусмотренных законом оснований и в установленные сроки.

15.2. Пользователи CRM-системы обязуются:

• использовать Сервис в соответствии с законодательством Российской Федерации и условиями договора;
• не вносить данные, обработка которых не имеет законного основания;
• не предоставлять доступ к учётным записям посторонним лицам;
• соблюдать установленные права доступа;
• использовать данные клиентов только для законных целей деятельности соответствующей СТО.

15.3. СТО самостоятельно отвечает за законность внесения данных своих клиентов, выбор целей обработки, корректность информации, предоставление клиентам обязательных уведомлений и получение согласий, когда они требуются законодательством.

16. Изменение Политики

16.1. Владелец Сервиса вправе вносить изменения в настоящую Политику при изменении законодательства, функциональности CRM-системы, порядка обработки данных или используемой инфраструктуры.

16.2. Новая редакция Политики публикуется на сайте по адресу: https://всезапчасти.online/privacy.

16.3. Новая редакция вступает в силу с момента публикации, если в самой редакции не предусмотрена иная дата.

16.4. Если изменения требуют получения нового согласия или совершения иных действий, предусмотренных законом, такие действия выполняются отдельно. Публикация новой редакции Политики сама по себе не заменяет получение согласия, когда оно обязательно.

17. Заключительные положения

17.1. Настоящая Политика действует в отношении персональных данных, обрабатываемых в рамках описанных в ней целей и процессов.

17.2. Если отдельное положение Политики признаётся неприменимым или противоречащим законодательству, это не влияет на действие остальных положений в той мере, в которой они могут применяться самостоятельно.

17.3. По вопросам, не урегулированным настоящей Политикой, применяются нормы законодательства Российской Федерации.

18. Контактные данные для обращений по персональным данным

По указанным контактам можно направлять запросы о предоставлении информации об обработке персональных данных, их уточнении, блокировании, удалении, отзыве согласия и иные обращения, связанные с защитой прав субъектов персональных данных.