Политика обработки персональных данных

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с требованиями Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных» (в актуальной редакции) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности оператором — интернет-платформой «DRIVE ON software» (далее — «Оператор»), осуществляющей деятельность на сайтах driveon.su и driveonsoft.ru.

1. Оператор персональных данных

2. Состав и цели обработки персональных данных

2.1. Оператор собирает и обрабатывает только те персональные данные, которые необходимы для достижения конкретных, заранее определённых и законных целей. Не допускается обработка данных, несовместимая с этими целями.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных осуществляется на основе следующих принципов (ст. 5 ФЗ-152):

• Законность и справедливость обработки;
• Ограничение обработки достижением конкретных, заранее определённых и законных целей;
• Недопустимость объединения баз данных ПДн, созданных для несовместимых целей;
• Обработка только тех ПДн, которые отвечают целям их обработки (минимизация данных);
• Обеспечение точности и актуальности данных;
• Хранение данных не дольше, чем требуется для достижения цели обработки.

3.2. Базы данных, содержащие персональные данные граждан Российской Федерации, размещены и обрабатываются на серверах, расположенных на территории Российской Федерации (ст. 18.1 ФЗ-152, требование о локализации).

4. Передача персональных данных третьим лицам

4.1. Оператор не продаёт и не передаёт персональные данные пользователей третьим лицам для рекламных, коммерческих или иных нецелевых нужд.

4.2. В целях обеспечения работы Сайта Оператор передаёт ограниченный объём данных следующим третьим лицам:

• Платёжные агрегаторы (в том числе CryptoPay / @CryptoBot, Telegram): передаются Email-адрес и сумма транзакции для формирования счёта на оплату. Обработка данных агрегаторами регулируется их собственными политиками конфиденциальности.
• Яндекс.Метрика (ООО «Яндекс»): передаются технические данные о визитах (IP-адрес в обезличенном виде, cookie, URL-адреса страниц, технические параметры браузера) для анализа поведения пользователей на Сайте. Пользователи Яндекс.Метрики могут отказаться от сбора данных через официальный opt-out инструмент Яндекса. Обработка данных Яндексом регулируется Политикой конфиденциальности Яндекса.
• Провайдеры облачной инфраструктуры (хостинг): могут обрабатывать IP-адреса как технический артефакт в рамках предоставления услуг хостинга.

4.3. Передача данных государственным органам и уполномоченным лицам производится исключительно на основаниях, предусмотренных законодательством Российской Федерации (по официальному запросу), в объёме, необходимом для исполнения соответствующих требований.

5. Cookie-файлы и данные сессий

5.1. Сайт использует cookie-файлы для обеспечения функциональности (сессионные cookie: авторизация, CSRF-защита) и аналитики (Яндекс.Метрика). Сессионные cookie удаляются по окончании сессии браузера или по истечении 8 (восьми) часов с момента последней активности.

5.2. Пользователь может ограничить использование cookie в настройках браузера. Отключение cookie может повлечь ограничение функциональности Сайта (в частности, невозможность авторизации).

5.3. Используя Сайт, Пользователь выражает согласие на использование cookie в объёме, необходимом для функционирования Сайта.

6. Сведения о реализуемых требованиях к защите персональных данных

6.1. В соответствии со ст. 18.1 и ст. 19 ФЗ-152 Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования и копирования. К таким мерам, в частности, относятся:

• Определение угроз безопасности при обработке в информационных системах и установление правил доступа к данным;
• Обнаружение фактов несанкционированного доступа: Сайт защищён от целевых атак и перебора паролей, при превышении лимита неудачных попыток вход блокируется автоматизированной системой (django-axes);
• Передача данных между Пользователем и Сайтом осуществляется по зашифрованному каналу связи (HTTPS/TLS) с сертификатом подлинности;
• Пароли пользователей хранятся исключительно в виде необратимых криптографических хешей (алгоритм PBKDF2), недоступных для прямого чтения;
• Доступ к серверной инфраструктуре ограничен и защищён многофакторной аутентификацией с одноразовыми паролями (OTP/TOTP);
• Регулярное резервное копирование данных для предотвращения их утраты и оценка эффективности принимаемых мер.

7. Сроки хранения данных

7.1. Персональные данные хранятся в течение срока действия договора с Пользователем и не более 3 (трёх) лет после его прекращения — если более длительное хранение не требуется в соответствии с применимым законодательством (например, требованиями налогового или бухгалтерского учёта).

7.2. Технические журналы (логи IP-адресов скачиваний) хранятся не более 1 (одного) года с момента создания, если иное не требуется в рамках разрешения конкретного спора.

7.3. После истечения срока хранения данные уничтожаются или обезличиваются в порядке, не позволяющем их восстановить.

8. Права субъекта персональных данных и сроки рассмотрения обращений

8.1. В соответствии с ФЗ-152 Пользователь имеет право:

• На доступ: получить подтверждение факта обработки своих ПДн и копию обрабатываемых данных;
• На уточнение: потребовать исправления неточных или неполных данных. Оператор обязуется внести изменения в срок, не превышающий 7 рабочих дней со дня предоставления сведений;
• На отзыв согласия и удаление: отозвать согласие на обработку ПДн в любой момент. В этом случае Оператор обязан прекратить обработку и уничтожить данные в срок, не превышающий 30 дней с даты поступления отзыва, если их сохранение более не требуется для целей обработки законным порядком (например, для налогового учёта);
• На прекращение обработки: потребовать прекращения обработки ПДн. Оператор прекращает обработку в срок не более 10 рабочих дней с даты получения требования (срок может быть мотивированно продлен не более чем на 5 рабочих дней);
• При выявлении Оператором неправомерной обработки ПДн, он обязуется прекратить её в течение 3 рабочих дней, а при невозможности сделать её правомерной — уничтожить данные в течение 10 рабочих дней;
• На обжалование: обратиться с жалобой в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор).

8.2. Для реализации своих прав Пользователь направляет письменное обращение в произвольной форме в службу поддержки (например, через мессенджеры Telegram или Whatsapp, подробности в разделе Контакты).

Примечание: Удаление аккаунта и связанных с ним данных («право быть забытым») не влечет возврата уплаченных авансовых платежей за предоставленные Информационные услуги, поскольку это не связано с основаниями для возврата по Оферте.

9. Изменение Политики

9.1. Оператор оставляет за собой право в одностороннем порядке вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её публикации на Сайте. Продолжение использования Сайта после публикации изменений означает согласие с обновлённой редакцией Политики.

9.2. При внесении существенных изменений Оператор уведомляет Пользователей по Email не менее чем за 7 (семь) дней до вступления изменений в силу.