— ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ (РФ)

1.1. Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152), Постановлением Правительства РФ от 01.11.2012 № 1119, Постановлением Правительства РФ от 15.09.2008 № 687 и иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.2. Политика определяет порядок обработки и защиты персональных данных, принципы и условия их обработки, права субъектов персональных данных, а также обязанности Оператора.

1.3. Политика размещена в общем доступе в сети Интернет по адресу /legal/rf-pd-policy в соответствии с ч. 2 ст. 18.1 ФЗ-152.

2.1. Оператор персональных данных: Индивидуальный предприниматель Изабакаров Рабадан Ибрагимович (далее — «Оператор», «MonkeyMachine»).

2.2. Адрес: Республика Дагестан, с. Кубачи, ул. Расула Алиханова, 63, 368572.

2.3. Ответственный за организацию обработки персональных данных: Изабакаров Рабадан Ибрагимович. Контакт: pdn@monkeymachine.ru.

2.4. Дополнительные контакты: privacy@monkeymachine.ru (вопросы конфиденциальности), support@monkeymachine.ru (техническая поддержка).

Обработка персональных данных осуществляется на следующих правовых основаниях:

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Гражданский кодекс Российской Федерации (ст. 421, 435, 437, 438 — договор-оферта);
• Налоговый кодекс Российской Федерации (ст. 23 — хранение документов бухгалтерского и налогового учёта);
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Согласие субъекта персональных данных (ст. 9 ФЗ-152);
• Исполнение договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 ФЗ-152);
• Обработка по поручению оператора (ч. 3 ст. 6 ФЗ-152) — в отношении данных конечных пользователей Клиентов.

Оператор осуществляет обработку персональных данных в следующих целях:

Оператор обрабатывает следующие персональные данные:

• Фамилия, имя, отчество (при наличии) / наименование организации;
• Адрес электронной почты;
• Номер контактного телефона (при предоставлении субъектом);
• Данные аутентификации (хэш пароля, токены сессий);
• ИНН, ОГРН/ОГРНИП (при наличии и добровольном предоставлении);
• IP-адрес, данные о браузере и устройстве (User-Agent);
• Содержание переписки через интегрированные каналы связи;
• Данные о заказах (состав, сумма, адрес доставки);
• Метаданные биллинга (у платёжного провайдера), маскированные данные платёжных карт (последние 4 цифры);
• Журналы событий и действий в системе.

Специальные категории персональных данных (расовая, национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь) — не обрабатываются. Биометрические персональные данные — не обрабатываются.

6.1. В соответствии с ч. 5 ст. 18 ФЗ-152, при сборе персональных данных, в том числе посредством сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

6.2. Основные серверы баз данных расположены в дата-центрах на территории Российской Федерации.

6.3. Трансграничная передача персональных данных может осуществляться в следующих случаях, при наличии оснований, предусмотренных ст. 12 ФЗ-152:

• Использование сервисов искусственного интеллекта (серверы провайдеров расположены в США) — данные минимизируются, не содержат прямых идентификаторов субъектов;
• Интеграции с международными коммуникационными платформами (WhatsApp Cloud API — серверы Meta, США) — по поручению Клиента;
• Использование CDN (Cloudflare, Inc., США) — для доставки статического контента;
• Отправка транзакционных e-mail (Postmark / SendGrid, США).

6.4. Страны, на территорию которых может осуществляться передача: Соединённые Штаты Америки, Объединённые Арабские Эмираты (Telegram). Указанные страны обеспечивают адекватную защиту прав субъектов персональных данных и/или передача осуществляется на основании согласия субъекта либо в целях исполнения договора (п. 1, 2 ч. 4 ст. 12 ФЗ-152).

6.5. В отношении данных конечных пользователей Клиентов, обрабатываемых в рамках CRM-интеграций (YCLIENTS, amoCRM, RetailCRM), трансграничная передача не осуществляется — данные хранятся и обрабатываются исключительно на территории Российской Федерации.

Персональные данные хранятся не дольше, чем это необходимо для достижения целей обработки:

• Данные аккаунта — весь период действия аккаунта + 90 дней после удаления (возможность восстановления);
• Данные биллинга и транзакций — 5 лет с момента совершения операции (ст. 23 НК РФ);
• Журналы действий — 180 дней;
• Технические логи серверов — 90 дней;
• Переписка в мессенджерах — весь период действия аккаунта + 30 дней;
• ИИ-промпты и логи — 30 дней;
• Резервные копии — 30 дней с момента создания;
• Данные CRM-интеграций — весь период действия аккаунта + 90 дней.

По достижении целей обработки или по истечении срока хранения персональные данные подлежат уничтожению в течение 30 календарных дней. Порядок уничтожения: soft-delete (логическое удаление, 30 дней) → hard-delete (физическое удаление из БД); следы в резервных копиях удаляются по мере их ротации.

В соответствии со ст. 19 ФЗ-152 Оператор принимает следующие меры для обеспечения безопасности персональных данных:

8.1. Технические меры:

• Шифрование данных при передаче (TLS 1.3, HSTS);
• Шифрование данных при хранении (шифрование дисков, резервных копий);
• Выборочное шифрование критичных полей в БД (pgcrypto);
• Хэширование паролей (bcrypt с адаптивным фактором стоимости);
• Межсетевое экранирование (firewall), ограничение сетевого доступа;
• Защита от DDoS-атак (Cloudflare WAF);
• Логическая изоляция данных тенантов (Row Level Security);
• Хранение секретов в зашифрованном виде (SOPS + age);
• Регулярное резервное копирование;
• Мониторинг доступности и безопасности;
• Автоматическое обновление зависимостей.

8.2. Организационные меры:

• Ограничение доступа к ПДн по принципу минимальных привилегий;
• Журналирование всех действий с ПДн (audit trail);
• Регулярный пересмотр прав доступа;
• Документированные процедуры реагирования на инциденты;
• Назначение ответственного за организацию обработки ПДн.

8.3. Используемые средства шифрования являются общедоступными криптографическими библиотеками и не являются сертифицированными СКЗИ в понимании нормативных актов ФСБ России.

8.4. Уровень защищённости персональных данных определяется в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и соответствует характеру обрабатываемых данных. Специальные и биометрические категории ПДн не обрабатываются.

Субъект персональных данных имеет право (ст. 14–17 ФЗ-152):

• Получить информацию об обработке своих персональных данных, включая: подтверждение факта обработки, правовые основания и цели, способы обработки, сведения о лицах, имеющих доступ к ПДн, перечень обрабатываемых данных и их источник, сроки обработки и хранения;
• Требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• Отозвать согласие на обработку персональных данных путём направления заявления Оператору;
• Требовать прекращения обработки ПДн в целях продвижения товаров, работ, услуг (ч. 2 ст. 15 ФЗ-152);
• Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн — Роскомнадзор (ст. 17 ФЗ-152);
• Защищать свои права и законные интересы, в том числе на возмещение убытков и/или компенсацию морального вреда, в судебном порядке.

Порядок реализации прав: запрос в свободной форме на адрес pdn@monkeymachine.ru или privacy@monkeymachine.ru с указанием: ФИО, идентификатора аккаунта (e-mail или ID проекта), перечня требуемых действий, подтверждения владения аккаунтом. Для подтверждения личности Оператор вправе запросить копию документа, удостоверяющего личность.

Срок рассмотрения: не более 10 (десяти) рабочих дней с момента получения обращения. Указанный срок может быть продлён не более чем на 5 (пять) рабочих дней с уведомлением субъекта (ч. 4 ст. 14 ФЗ-152 в ред. от 14.07.2022).

10.1. В соответствии со ст. 22 ФЗ-152, Оператор обязан уведомить уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о своём намерении осуществлять обработку персональных данных, за исключением случаев, предусмотренных ч. 2 ст. 22 ФЗ-152.

10.2. Оператор осуществляет обработку персональных данных, подпадающую под следующие исключения, предусмотренные ч. 2 ст. 22 ФЗ-152:

• П. 2 ч. 2 ст. 22: персональные данные Владельцев аккаунтов и авторизованных пользователей обрабатываются в связи с заключением договора (публичной оферты — Условий использования), стороной которого является субъект персональных данных, и необходимы для исполнения указанного договора. Данные не распространяются и не предоставляются третьим лицам без согласия субъекта и используются Оператором исключительно для исполнения договора и заключения иных договоров с субъектом;
• Ч. 3 ст. 6: в отношении персональных данных конечных пользователей Клиентов MonkeyMachine выступает лицом, осуществляющим обработку по поручению оператора (Клиента), и не является самостоятельным оператором таких данных. Обязанность по уведомлению Роскомнадзора в отношении этих данных возлагается на Клиента как на Оператора.

10.3. Оператор оставляет за собой право подать уведомление в Роскомнадзор на добровольной основе при изменении масштаба или характера обработки персональных данных. В случае подачи уведомления соответствующий регистрационный номер будет указан в настоящем разделе.

10.4. Вне зависимости от наличия или отсутствия уведомления, Оператор в полном объёме соблюдает требования ФЗ-152, включая обеспечение конфиденциальности, безопасности, прав субъектов персональных данных и локализацию баз данных на территории Российской Федерации.

11.1. MonkeyMachine осуществляет обработку персональных данных конечных пользователей Клиентов по поручению Клиентов-операторов на основании ч. 3 ст. 6 ФЗ-152 и в соответствии с Договором обработки данных (DPA).

11.2. MonkeyMachine при обработке по поручению:

• Обрабатывает данные исключительно в целях и объёме, определённых Клиентом-оператором;
• Не определяет самостоятельных целей обработки;
• Обеспечивает конфиденциальность обрабатываемых данных;
• Обеспечивает безопасность обработки в соответствии с разделом 8 настоящей Политики;
• Содействует Клиенту-оператору в обеспечении прав субъектов ПДн.

11.3. Ответственность перед субъектами персональных данных за действия MonkeyMachine как лица, осуществляющего обработку по поручению, несёт Клиент-оператор (ч. 5 ст. 6 ФЗ-152). MonkeyMachine несёт ответственность перед Клиентом в рамках поручения и DPA.

Все обращения, запросы и жалобы, связанные с обработкой персональных данных, направляются:

• По электронной почте: pdn@monkeymachine.ru или privacy@monkeymachine.ru;
• По почтовому адресу: 368572, Республика Дагестан, с. Кубачи, ул. Расула Алиханова, 63 — с пометкой «Персональные данные».

Уполномоченный орган по защите прав субъектов персональных данных: Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Адрес: 109992, г. Москва, Китайгородский пр., д. 7, стр. 2. Сайт: rkn.gov.ru.

13.1. Настоящая Политика вступает в силу с момента её размещения на сайте Оператора и действует бессрочно до замены новой редакцией.

13.2. Оператор вправе вносить изменения в Политику. При внесении изменений указывается дата последнего обновления. Новая редакция вступает в силу с момента размещения, если иное не предусмотрено новой редакцией.

13.3. К настоящей Политике и отношениям, возникающим в связи с обработкой персональных данных, применяется законодательство Российской Федерации.