1. Кто обрабатывает данные
Платформой SafeDrop управляет ООО «SafeDrop Технологии», г. Москва (далее «SafeDrop», «мы»). Политика действует для сайта corenode-cloud.ru, кабинетов организаций и форм приёма обращений, размещённых на поддоменах клиентов.
Политика составлена с учётом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и Регламента (ЕС) 2016/679 (GDPR) для случаев, когда клиент или заявитель находится в Европейском союзе.
2. Две категории данных
Роль SafeDrop зависит от того, о каких данных идёт речь.
- Данные клиентов
- Учётные записи кураторов и администраторов, реквизиты организации для счетов, обращения в поддержку. По этим данным SafeDrop является оператором (controller по GDPR).
- Содержимое обращений
- Текст, вложения и переписка, которые заявитель отправляет организации. Оператором выступает организация-клиент, а SafeDrop обрабатывает их по её поручению (ч. 3 ст. 6 152-ФЗ; processor по ст. 28 GDPR). Содержимое зашифровано ключом организации, и мы не можем его прочитать.
Если вы подали обращение и хотите узнать, как оно будет рассмотрено, обратитесь к организации, которой оно адресовано: регламент проверки определяет она.
3. Чего мы не собираем о заявителях
- IP-адреса: балансировщик удаляет адрес клиента до приложения, журналы веб-серверов ведутся без этого поля.
- Заголовок User-Agent, разрешение экрана, шрифты и иные сведения, из которых можно собрать отпечаток браузера.
- Cookie, пиксели и сторонние счётчики на формах приёма обращений.
- Исходные файлы: метаданные (EXIF, XMP, свойства документов, скрытые слои) удаляются в браузере заявителя до шифрования.
- Сам код обращения: сервер хранит только его хэш, вычисленный с солью.
Время поступления обращения сохраняется с точностью до часа, чтобы организация могла соблюсти сроки ответа.
4. Цели и правовые основания
- Предоставление сервиса
- Создание кабинета, вход, работа кураторов. Основание: договор (п. 5 ч. 1 ст. 6 152-ФЗ; ст. 6(1)(b) GDPR).
- Расчёты и бухгалтерия
- Выставление счетов, хранение первичных документов. Основание: требования законодательства (п. 2 ч. 1 ст. 6 152-ФЗ; ст. 6(1)(c) GDPR).
- Безопасность платформы
- Журнал действий кураторов, защита кабинетов от подбора пароля. Основание: законный интерес (ст. 6(1)(f) GDPR) и договор с клиентом.
- Статистика сайта
- Обезличенные сведения о посещении маркетинговых страниц corenode-cloud.ru. Основание: согласие, которое можно отозвать в любой момент.
5. Сроки хранения
- Обращения и переписка: срок задаёт организация-клиент, по умолчанию 3 года с даты закрытия. После срока шифротекст удаляется вместе с резервными копиями в течение 30 дней.
- Учётные записи кураторов: на время действия договора и 90 дней после его окончания.
- Журнал действий кураторов: 5 лет, если организация не установила иной срок.
- Платёжные документы: 5 лет по требованиям бухгалтерского учёта.
6. Локализация и передача третьим лицам
Базы данных с персональными данными граждан РФ размещены в дата-центрах на территории России (Москва и Санкт-Петербург) в соответствии с ч. 5 ст. 18 152-ФЗ. Трансграничную передачу персональных данных мы не осуществляем.
Данные передаются только подрядчикам, без которых сервис не работает: владельцам площадок дата-центров (доступ к стойкам, но не к данным) и платёжному оператору для обработки счетов. С каждым заключено соглашение о конфиденциальности и поручение на обработку.
Если государственный орган направит запрос о заявителе, мы сможем передать только то, что храним: шифротекст и округлённое время поступления. О каждом таком запросе мы уведомляем клиента, если это не запрещено законом.
8. Ваши права
Вы можете запросить сведения об обработке своих данных, их уточнение, блокирование или удаление, отозвать согласие, возразить против обработки на основании законного интереса и получить данные в машиночитаемом виде (ст. 14 152-ФЗ; ст. 15-21 GDPR). Мы отвечаем в течение 10 рабочих дней.
Если вы считаете, что ваши права нарушены, вы вправе обратиться в Роскомнадзор или в надзорный орган по защите данных страны ЕС, где вы проживаете.
Запрос, касающийся содержимого обращения, мы перенаправим организации-клиенту, поскольку прочитать и изменить его может только она.
9. Защита данных
Данные передаются по TLS 1.3, хранятся на томах с шифрованием AES-256, доступ сотрудников SafeDrop к инфраструктуре выдаётся по принципу минимальных привилегий и фиксируется в журнале. Подробное описание архитектуры приведено на странице безопасности.
10. Контакты и изменения политики
Вопросы о персональных данных направляйте на support@corenode-cloud.ru с темой «Персональные данные». Ответственный за организацию обработки персональных данных назначен приказом генерального директора.
Об изменениях политики мы сообщаем администраторам организаций по почте не позднее чем за 14 дней до вступления новой редакции в силу. Актуальная редакция всегда доступна на этой странице.