ПОЛИТИКА

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ») и определяет политику Оператора в отношении обработки персональных данных, а также содержит сведения о реализуемых требованиях к защите персональных данных.

1.2. Оператор персональных данных (далее — «Оператор»): Индивидуальный предприниматель Яковлев Андрей Валерьевич, ОГРНИП 326784700268230, ИНН 781441922850, адрес электронной почты: tonvo.online@gmail.com.

1.3. Политика применяется ко всем персональным данным, обрабатываемым Оператором с использованием средств автоматизации и без использования таких средств.

1.4. Политика является общедоступным документом и размещается в свободном доступе на сайте https://tonvo.online. Актуальная редакция Политики доступна по указанному адресу постоянно.

1.5. Термины «персональные данные», «оператор», «обработка персональных данных», «обезличивание», «блокирование», «уничтожение», «трансграничная передача», «субъект персональных данных» и иные используются в значениях, установленных ст. 3 Закона № 152-ФЗ. Термины «Сервис», «Сайт», «Пользователь», «Инвойс», «Личный кабинет», «Оферта» используются в значениях, установленных Договором-офертой Оператора, размещённым на Сайте.

1.6. Сервис предназначен для использования юридическими лицами и индивидуальными предпринимателями в предпринимательской деятельности. Оператор не оказывает услуг физическим лицам для личных, семейных и домашних нужд.

2.1. Правовыми основаниями обработки персональных данных являются: Конституция Российской Федерации; Гражданский кодекс Российской Федерации; Закон № 152-ФЗ; Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Федеральный закон от 27.11.2018 № 422-ФЗ «О проведении эксперимента по установлению специального налогового режима „Налог на профессиональный доход“»; Налоговый кодекс Российской Федерации; подзаконные нормативные правовые акты; Договор-оферта Оператора; согласия субъектов персональных данных; поручения операторов персональных данных (ч. 3 ст. 6 Закона № 152-ФЗ).

2.2. Оператор обрабатывает персональные данные при наличии хотя бы одного из условий ч. 1 ст. 6 Закона № 152-ФЗ. Конкретное правовое основание для каждой цели обработки указано в разделе 4 Политики.

3.1. Оператор осуществляет обработку персональных данных на основе принципов, установленных ст. 5 Закона № 152-ФЗ:

3.1.1. обработка осуществляется на законной и справедливой основе;

3.1.2. обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;

3.1.3. не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

3.1.4. обработке подлежат только персональные данные, отвечающие целям обработки; их содержание и объём не являются избыточными по отношению к заявленным целям;

3.1.5. при обработке обеспечиваются точность, достаточность и актуальность персональных данных;

3.1.6. хранение осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки; по достижении целей обработки либо в случае утраты необходимости в их достижении персональные данные уничтожаются или обезличиваются.

3.2. Оператор не осуществляет обработку специальных категорий персональных данных (ст. 10 Закона № 152-ФЗ) и биометрических персональных данных (ст. 11 Закона № 152-ФЗ). Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки его персональных данных.

3.3. Оператор не осуществляет распространение персональных данных (раскрытие неопределённому кругу лиц) и не обрабатывает персональные данные в целях продвижения товаров, работ и услуг на рынке путём осуществления прямых контактов с потенциальным потребителем с помощью средств связи без предварительного согласия субъекта.

4.1. Оператор обрабатывает персональные данные исключительно в целях, перечисленных ниже. Для каждой цели указаны категории субъектов, перечень обрабатываемых персональных данных, правовое основание, перечень совершаемых действий и срок хранения.

4.2. Цель: заключение и исполнение Договора-оферты, предоставление доступа к Сервису

Категории субъектов: представители Пользователей — юридических лиц; Пользователи — индивидуальные предприниматели

Перечень персональных данных: фамилия, имя, отчество; адрес электронной почты; номер телефона (при указании); наименование должности и организации (при указании); учётные данные (логин, значение хеш-функции пароля); сведения о действиях в Личном кабинете (дата и время входа, IP-адрес, идентификатор сессии); для Пользователей — индивидуальных предпринимателей дополнительно: ОГРНИП, ИНН, адрес, банковские реквизиты

Правовое основание: для Пользователей — индивидуальных предпринимателей: п. 5 ч. 1 ст. 6 Закона № 152-ФЗ (обработка необходима для исполнения договора, стороной которого является субъект персональных данных). Для представителей Пользователей — юридических лиц: п. 1 ч. 1 ст. 6 Закона № 152-ФЗ (согласие субъекта персональных данных), предоставляемое субъектом самостоятельно отдельным документом при регистрации в Личном кабинете

Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение

Способы обработки: смешанная обработка (автоматизированная и неавтоматизированная), с передачей по сети «Интернет» с использованием защищённого соединения

Срок хранения: в течение срока действия Договора и 3 (трёх) лет после его прекращения (общий срок исковой давности). При отзыве согласия — в сроки, установленные разделом 9 Политики

Трансграничная передача: не осуществляется

4.3. Цель: осуществление расчётов за услуги и исполнение обязанностей, возложенных на Оператора налоговым законодательством

Категории субъектов: Пользователи — индивидуальные предприниматели; представители Пользователей, участвующие в расчётах

Перечень персональных данных: фамилия, имя, отчество; ИНН; сведения о произведённых расчётах (дата, сумма, наименование услуги); реквизиты, необходимые для формирования чека

Правовое основание: п. 2 ч. 1 ст. 6 Закона № 152-ФЗ (обработка необходима для исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации): Федеральный закон от 27.11.2018 № 422-ФЗ, Налоговый кодекс Российской Федерации

Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление) в Федеральную налоговую службу России, блокирование, удаление, уничтожение

Способы обработки: смешанная обработка

Срок хранения: 5 (пять) лет с даты произведения расчёта

Трансграничная передача: не осуществляется

4.4. Цель: рассмотрение обращений, техническая и информационная поддержка

Категории субъектов: лица, направившие обращение Оператору; субъекты персональных данных, реализующие права, предусмотренные Законом № 152-ФЗ

Перечень персональных данных: фамилия, имя, отчество; адрес электронной почты; иные данные, добровольно сообщённые заявителем в тексте обращения

Правовое основание: п. 1 ч. 1 ст. 6 Закона № 152-ФЗ (согласие субъекта, выраженное в направлении обращения); для обращений субъектов персональных данных — п. 2 ч. 1 ст. 6 Закона № 152-ФЗ (исполнение обязанностей, возложенных на Оператора Законом № 152-ФЗ)

Перечень действий: сбор, запись, систематизация, накопление, хранение, извлечение, использование, блокирование, удаление, уничтожение

Способы обработки: смешанная обработка

Срок хранения: 3 (три) года с даты рассмотрения обращения

Трансграничная передача: не осуществляется

4.5. Цель: обеспечение работоспособности и безопасности Сайта, сбор обезличенной статистики посещаемости

Категории субъектов: посетители Сайта

Перечень персональных данных: IP-адрес; сведения о браузере и устройстве (User-Agent, разрешение экрана, язык); файлы cookie и иные идентификаторы, присваиваемые устройству; сведения о просмотренных страницах, дате и времени обращения; источник перехода

Правовое основание: п. 1 ч. 1 ст. 6 Закона № 152-ФЗ (согласие субъекта, выражаемое посредством информационного баннера при первом посещении Сайта) — в отношении файлов cookie, не являющихся строго необходимыми. В отношении строго необходимых файлов cookie (обеспечение сессии, аутентификации и безопасности) — п. 5 ч. 1 ст. 6 Закона № 152-ФЗ

Перечень действий: сбор, запись, систематизация, накопление, хранение, извлечение, использование, обезличивание, блокирование, удаление, уничтожение

Способы обработки: автоматизированная обработка

Срок хранения: не более 1 (одного) года с даты сбора либо до истечения срока действия соответствующего файла cookie, в зависимости от того, какой срок наступит ранее. Субъект вправе самостоятельно удалить файлы cookie средствами браузера

Трансграничная передача: не осуществляется

4.6. Персональные данные, содержащиеся в загружаемых Пользователями Инвойсах и иных документах, обрабатываются Оператором не как оператором, а по поручению Пользователя. Условия такой обработки изложены в разделе 5 Политики.

4.7. Оператор не собирает персональные данные, не относящиеся к целям, перечисленным в настоящем разделе, и не требует от субъектов предоставления избыточных сведений. Персональные данные получаются Оператором непосредственно от субъектов персональных данных либо от Пользователей в порядке раздела 5 Политики.

5.1. В отношении персональных данных, содержащихся в загружаемых Пользователем Инвойсах и иных документах (далее — «Поручённые данные»), оператором персональных данных является Пользователь, а Оператор выступает лицом, осуществляющим обработку персональных данных по поручению оператора (ч. 3 ст. 6 Закона № 152-ФЗ). Поручение оформляется разделом 10 Договора-оферты и вступает в силу с момента его акцепта Пользователем.

5.2. Оператор не определяет цели обработки Поручённых данных, не обрабатывает их в собственных интересах и не обязан получать согласие субъектов персональных данных на их обработку.

5.3. Цель обработки Поручённых данных — оказание Пользователю услуг по извлечению сведений из Инвойса и формированию рекомендуемого кода ТН ВЭД ЕАЭС. Перечень совершаемых действий: сбор (получение от Пользователя), запись, систематизация, накопление, хранение, уточнение, извлечение, использование, обезличивание, блокирование, удаление, уничтожение.

5.4. Ответственность перед субъектом персональных данных за действия Оператора в рамках поручения несёт Пользователь как оператор персональных данных (ч. 3 ст. 6 Закона № 152-ФЗ). Оператор несёт ответственность перед Пользователем.

5.5. Субъект персональных данных, чьи данные содержатся в Инвойсе, реализует права, предусмотренные Законом № 152-ФЗ, путём обращения к соответствующему Пользователю. При получении такого обращения непосредственно Оператором Оператор в разумный срок перенаправляет обращение Пользователю и уведомляет об этом заявителя.

5.6. Срок хранения Поручённых данных — 90 (девяносто) календарных дней с даты обработки соответствующего Инвойса, если Пользователь не потребовал их уничтожения ранее. По требованию Пользователя, а также при прекращении Договора Поручённые данные уничтожаются в срок, не превышающий 30 (тридцати) календарных дней.

5.7. Оператор рекомендует Пользователям удалять или обезличивать персональные данные в Инвойсах до их загрузки в Сервис. Для формирования рекомендации по классификации товара персональные данные не требуются: достаточно сведений о товарных позициях.

5.8. Оператор не принимает от Пользователей и не обрабатывает специальные категории персональных данных и биометрические персональные данные. При выявлении таких данных в загруженных документах они подлежат блокированию и уничтожению.

6.1. Оператор не продаёт персональные данные, не передаёт их в рекламных целях и не раскрывает неопределённому кругу лиц.

6.2. Для достижения целей, указанных в разделах 4 и 5 Политики, Оператор поручает обработку персональных данных следующим лицам. Обработка осуществляется на основании договоров, содержащих требования ч. 3 ст. 6 Закона № 152-ФЗ. Все привлечённые лица обрабатывают персональные данные с использованием баз данных, находящихся на территории Российской Федерации.

6.3. При изменении перечня привлечённых лиц Оператор вносит соответствующие изменения в Политику до начала передачи данных новому привлечённому лицу.

6.4. Использование технологий искусственного интеллекта. Для формирования рекомендуемого кода ТН ВЭД ЕАЭС Оператор использует технологии искусственного интеллекта, в том числе предоставляемые иностранными поставщиками. Таким поставщикам передаются исключительно сведения о товарных позициях (наименование товара, характеристики, количество, вес, стоимость), не являющиеся персональными данными и не позволяющие идентифицировать субъектов персональных данных, Пользователя и его контрагентов. Персональные данные, наименования Пользователя и его контрагентов, реквизиты Инвойсов и сведения о сторонах сделки иностранным поставщикам не передаются. Удаление персональных данных производится на стороне Оператора, на территории Российской Федерации, до направления сведений иностранному поставщику.

6.5. Оператор предоставляет персональные данные государственным органам по их мотивированному запросу в случаях и в порядке, установленных законодательством Российской Федерации.

7.1. Оператор осуществляет запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона № 152-ФЗ).

7.2. Трансграничная передача персональных данных Оператором не осуществляется. Персональные данные не передаются на территорию иностранных государств ни Оператором, ни привлечёнными им лицами.

7.3. В случае возникновения у Оператора намерения осуществлять трансграничную передачу персональных данных Оператор направит уведомление в Роскомнадзор в порядке ст. 12 Закона № 152-ФЗ до начала такой передачи и внесёт соответствующие изменения в Политику.

8.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (ст. 18.1, ст. 19 Закона № 152-ФЗ).

8.2. Организационные и правовые меры:

8.2.1. издание настоящей Политики и локальных актов по вопросам обработки персональных данных;

8.2.2. определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных и требуемого уровня защищённости в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119;

8.2.3. проведение оценки вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ, в соответствии с приказом Роскомнадзора от 27.10.2022 № 178, с оформлением соответствующего акта;

8.2.4. осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства;

8.2.5. подтверждение уничтожения персональных данных в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179;

8.2.6. обязанности, предусмотренные п. 1 ч. 1 ст. 18.1 Закона № 152-ФЗ в части назначения ответственного за организацию обработки персональных данных, на Оператора как на индивидуального предпринимателя не распространяются; функции по организации обработки персональных данных Оператор осуществляет лично;

8.2.7. включение в договоры с привлечёнными лицами условий, предусмотренных ч. 3 ст. 6 Закона № 152-ФЗ.

8.3. Технические меры:

8.3.1. передача данных между устройством пользователя и Сервисом осуществляется по защищённому соединению с использованием криптографического протокола TLS;

8.3.2. пароли не хранятся в открытом виде: хранению подлежат только значения криптографической хеш-функции с индивидуальной солью;

8.3.3. применяется двухфакторная аутентификация при входе в Личный кабинет;

8.3.4. токены сессии передаются в защищённых файлах cookie, недоступных для клиентских сценариев;

8.3.5. осуществляется разграничение и учёт доступа к персональным данным; ведётся журнал регистрации действий в информационной системе;

8.3.6. выполняется резервное копирование баз данных; резервные копии размещаются на территории Российской Федерации;

8.3.7. применяются межсетевые экраны (firewall), средства ограничения и мониторинга сетевых подключений для защиты от несанкционированного доступа (в том числе технологии, аналогичные fail2ban), антивирусная защита от вредоносного программного обеспечения, регулярное обновление используемого программного обеспечения для устранения выявленных уязвимостей.

8.4. Реагирование на инциденты. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа к) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в срок не более 24 (двадцати четырёх) часов с момента выявления инцидента и направляет сведения о результатах внутреннего расследования в срок не более 72 (семидесяти двух) часов (ч. 3.1 ст. 21 Закона № 152-ФЗ). При обработке персональных данных по поручению Пользователя Оператор в те же сроки уведомляет Пользователя.

9.1. Субъект персональных данных вправе:

9.1.1. получать сведения, касающиеся обработки его персональных данных, в объёме, предусмотренном ч. 7 ст. 14 Закона № 152-ФЗ;

9.1.2. требовать уточнения своих персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

9.1.3. отозвать согласие на обработку персональных данных;

9.1.4. обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке;

9.1.5. защищать свои права и законные интересы, в том числе требовать возмещения убытков и компенсации морального вреда.

9.2. Порядок обращения. Обращение или запрос направляется Оператору по адресу электронной почты tonvo.online@gmail.com либо почтовым отправлением по адресу, указанному в п. 1.2 Политики. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона № 152-ФЗ: номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дату заключения, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором; подпись субъекта персональных данных или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью в соответствии с законодательством Российской Федерации.

9.3. Сроки рассмотрения. Оператор предоставляет ответ на обращение в срок, не превышающий 10 (десяти) рабочих дней с даты его получения. Указанный срок может быть продлён, но не более чем на 5 (пять) рабочих дней, при направлении Оператором мотивированного уведомления с указанием причин продления (ст. 20 Закона № 152-ФЗ).

9.4. При выявлении неточности персональных данных по заявлению субъекта Оператор уточняет их в срок, не превышающий 7 (семи) рабочих дней с даты представления субъектом сведений, подтверждающих неточность, и снимает блокирование.

10.1. Персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки, при утрате необходимости в их достижении, а также в случае отзыва субъектом согласия на обработку — в срок, не превышающий 30 (тридцати) дней с даты наступления соответствующего обстоятельства, если иное не предусмотрено договором или законодательством (ч. 4, ч. 5 ст. 21 Закона № 152-ФЗ).

10.2. При выявлении неправомерной обработки персональных данных Оператор прекращает такую обработку в срок, не превышающий 3 (трёх) рабочих дней с даты выявления. Если обеспечить правомерность обработки невозможно, Оператор уничтожает персональные данные в срок, не превышающий 10 (десяти) рабочих дней с даты выявления, и уведомляет об этом субъекта (ч. 3 ст. 21 Закона № 152-ФЗ).

10.3. Если уничтожение персональных данных в установленные сроки невозможно, Оператор осуществляет их блокирование и обеспечивает уничтожение в срок не более 6 (шести) месяцев, если иной срок не установлен федеральными законами.

10.4. Факт уничтожения персональных данных подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных в соответствии с приказом Роскомнадзора от 28.10.2022 № 179. Акт и выгрузка хранятся Оператором в течение 3 (трёх) лет с даты уничтожения.

10.5. Сохранение персональных данных сверх сроков, указанных в разделе 4 Политики, допускается только в объёме и в течение срока, необходимых для исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации, либо для защиты прав и законных интересов Оператора при наличии спора.

11.1. Оператор направил (направляет) в Роскомнадзор уведомление об обработке персональных данных в порядке ст. 22 Закона № 152-ФЗ. Сведения об Операторе содержатся в реестре операторов, осуществляющих обработку персональных данных.

11.2. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иной срок не указан в новой редакции. Предыдущие редакции сохраняются Оператором и предоставляются по запросу.

11.3. Субъектам персональных данных рекомендуется периодически знакомиться с актуальной редакцией Политики.

11.4. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации о персональных данных.

11.5. Контактные данные для обращений по вопросам обработки персональных данных: tonvo.online@gmail.com.