Обработка персональных данных

ООО «Сибирские Технологические Решения» · ИНН 2459021400 · ОГРН 1212400022097 · atomy-hub.ru

Здесь описано, какие данные попадают в Atomy Hub, кто за них отвечает и что мы делаем, чтобы они оставались в безопасности. Технические подробности защиты мы намеренно не раскрываем, но перечисляем принципы, по которым устроена работа.

Кто обрабатывает данные

ООО «Сибирские Технологические Решения» (ООО «СибТехРешения»), ИНН 2459021400, ОГРН 1212400022097. Адрес для обращений: 662311, Красноярский край, Шарыповский район, г. Шарыпово, мкр. Берлин, д. 17, офис 5.

Две разные группы данных

Заявки с сайта. Их оставляете вы сами в форме связи: имя контактного лица, название ОЦ, город, телефон, email или идентификатор мессенджера, интересующий тариф и комментарий. Цель — ответить на обращение, согласовать подключение и сопровождать заявку. Основание — ваше отдельное согласие, которое даётся отметкой перед отправкой; заранее эта отметка не проставлена. Рекламная рассылка таким согласием не разрешается. Не указывайте в форме пароли, данные карт, документы или сведения о клиентах ОЦ.

Данные в личном кабинете ОЦ. Это рабочие сведения центра: заказы, товары, склад, получатели и их контакты, переписка с поддержкой. Их загружает и ведёт сам центр — он определяет, зачем они нужны, и отвечает за законность их сбора. Мы обрабатываем такие данные только по его поручению, для работы сервиса и поддержки, и не используем в своих целях: не анализируем чужую клиентскую базу, не продаём, не передаём третьим лицам, не рассылаем по ней рекламу.

Где хранятся данные

Данные размещены на сервере в России и не передаются в зарубежные облака. Резервные копии хранятся там же. Доступ к серверной части есть у ограниченного круга сотрудников, отвечающих за эксплуатацию сервиса.

Как мы защищаем данные

Защита строится не на одном «главном» средстве, а на нескольких независимых уровнях — так ошибка в одном месте не открывает доступ ко всему остальному.

• Данные одного центра не видны другому. Каждый запрос к серверу ограничивается тем центром, к которому относится пользователь, и проверяется на сервере. Скрыть кнопку в интерфейсе мы защитой не считаем.
• Права по ролям. Руководитель, сотрудник склада и администратор видят разный объём данных и располагают разным набором действий. Доступ к разделам выдаётся адресно.
• Пароли нельзя прочитать. Они хранятся в необратимо преобразованном виде: «посмотреть текущий пароль» не может никто, включая нас, — можно только задать новый. Действует минимальная длина, а простые пароли не принимаются.
• Подбор пароля бессмыслен. После неудачных попыток вход в учётную запись приостанавливается на возрастающее время, а ответ сервера не подсказывает, существует ли такой логин.
• Сессии ограничены по времени и продлеваются, пока вы работаете. Попытка воспользоваться уже завершённой сессией прекращает все сессии этого пользователя и фиксируется в журнале.
• Соединение всегда защищённое. Сайт, личный кабинет и консоль работают по HTTPS, обращение по незащищённому протоколу перенаправляется на защищённое. Подключение к почтовым серверам выполняется только по защищённым протоколам.
• Поддержка не спрашивает ваш пароль. Если для помощи нужно зайти в кабинет центра, используется служебный вход: он ограничен по времени и полностью фиксируется — кто входил, когда и что делал. По запросу центра мы предоставляем выписку из этого журнала.
• Технические секреты зашифрованы. Пароли почтовых ящиков и другие служебные ключи хранятся в зашифрованном виде и после сохранения нигде не показываются.
• Данные банковских карт к нам не попадают. Оплата проходит на стороне платёжного сервиса, мы получаем только факт платежа и его состояние.
• Действия фиксируются. Входы, изменения данных, служебные операции и попытки сделать то, на что нет прав, записываются в журнал. Технические записи о запросах (адрес, время, маршрут) хранятся ограниченный срок и используются для диагностики и защиты; пароли и содержимое карт в них не попадают.
• Ежедневные резервные копии. База копируется по расписанию раз в сутки, копии хранятся две недели. Это страховка от сбоя оборудования и от ошибочного массового действия.
• Ограничения против злоупотреблений. Ограничены частота обращений к серверу, размеры загружаемых файлов и содержимое архивов, проверяются адреса внешних серверов. Конкретные пороги и правила не публикуем намеренно.
• Проверки и обновления. Мы регулярно проводим внутренние проверки безопасности. Найденное исправляем и закрываем автоматическими проверками, чтобы та же ошибка не вернулась в следующих версиях; каждое обновление проходит через них перед выпуском.

Чего мы не делаем

• не продаём данные и не передаём их третьим лицам, кроме случаев, прямо предусмотренных законом;
• не используем рабочие данные центров для рекламы; рекламных и аналитических счётчиков на этом сайте нет;
• не запрашиваем ваш пароль — ни в переписке, ни по телефону;
• не храним данные банковских карт.

Что зависит от вас

Часть безопасности находится на стороне центра, и без этого остальное не работает:

• у каждого сотрудника — своя учётная запись, а не общий логин «на всех»;
• пароль не пересылается в общих чатах и не пишется на видном месте;
• при увольнении сотрудника его учётная запись отключается сразу;
• обо всём подозрительном — незнакомый вход, пропавшие записи — сообщайте нам, мы поднимем журналы.

Сроки хранения и ваши права

Данные заявки хранятся до достижения цели обработки, отзыва согласия либо появления иного применимого основания для хранения; после утраты основания они удаляются или обезличиваются. Рабочие данные центра хранятся, пока действует его подключение к сервису, и удаляются по его обращению, если закон не требует иного.

Вы можете запросить сведения об обработке, исправление, прекращение обработки или удаление данных через форму связи (укажите «Обращение по персональным данным») либо письменно по адресу оператора. Мы отвечаем на такие обращения в сроки, установленные законом.

Если вы нашли уязвимость

Напишите нам через форму связи с пометкой «Безопасность» и опишите, что удалось воспроизвести. Мы разберёмся, ответим и не преследуем за добросовестное сообщение о проблеме. Просьба не публиковать подробности до выпуска исправления и не трогать чужие данные при проверке.

Согласие на обработку данных заявки

Отмечая поле согласия и отправляя заявку, я разрешаю ООО «СибТехРешения» обработку предоставленных мной имени, названия ОЦ, города, контактных данных, выбранного тарифа и комментария для ответа на обращение и согласования подключения ОЦ.

Разрешённые действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование для связи, блокирование, удаление и уничтожение с использованием средств автоматизации и без них. Распространение данных неопределённому кругу лиц не разрешаю. Согласие действует до достижения указанной цели либо моего отзыва через форму связи или по почтовому адресу оператора.