ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ООО «КОД РАЗВИТИЯ»
ГЛАВА 1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана ООО «Код развития» во исполнение требований Закона Республики Беларусь от 07.05.2021 № 99-З «О защите персональных данных» (далее — Закон № 99-З).
1.2. Общество с ограниченной ответственностью «Код развития» (УНП 194024389, место нахождения: 220040, г. Минск, ул. Максима Богдановича, д. 155, офис 1108Б) является юридическим лицом, осуществляющим обработку персональных данных (далее — Оператор).
1.3. Мобильное приложение — «Rivox» (далее — Приложение). Сайт — https://rivox.by. Электронная почта для обращений по вопросам обработки персональных данных — info@rivox.by.
1.4. Приложение представляет собой площадку, на которой заказчики размещают заказы на выполнение работ и оказание услуг, а исполнители направляют на них свои предложения (отклики). Оператор не является стороной сделки между заказчиком и исполнителем и не участвует в расчётах между ними: заказчик рассчитывается с исполнителем напрямую. Оператор получает от исполнителя вознаграждение (комиссию) за пользование Приложением.
1.5. Политика разъясняет субъектам персональных данных цели, правовые основания и порядок обработки их персональных данных, а также имеющиеся у них права и механизм их реализации.
1.6. Политика не применяется к обработке персональных данных в процессе трудовой деятельности и при осуществлении административных процедур (в отношении работников и бывших работников) Оператора.
1.7. Политика публикуется в свободном доступе по адресу https://rivox.by/legal/privacy-policy и доступна в Приложении в разделе «Профиль → Документы».
1.8. В Политике используются термины в значении, определённом Законом № 99-З.
1.9. Оператор вправе изменять и дополнять Политику в соответствии с требованиями законодательства. Актуальная редакция размещается по адресу, указанному в пункте 1.7. Каждая редакция имеет номер версии; номер редакции, с которой согласился пользователь, сохраняется вместе с его согласием.
ГЛАВА 2. ПОРЯДОК ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
2.1. Обработка персональных данных осуществляется с согласия субъекта персональных данных, за исключением случаев, когда согласие не требуется в соответствии с законодательством, в частности при получении персональных данных на основании договора, заключаемого с субъектом персональных данных, в целях совершения действий, установленных этим договором (абзац 15 статьи 6 Закона № 99-З).
2.2. Обработка включает сбор, систематизацию, хранение, изменение, использование, блокирование, предоставление, удаление и обезличивание персональных данных.
2.3. Обработка осуществляется с использованием средств автоматизации. Оператор ограничивает обработку достижением конкретных, заранее заявленных целей и не допускает избыточной обработки.
2.4. Специальные персональные данные Оператор не собирает и не запрашивает. Пользовательским соглашением прямо запрещено указывать в свободных полях (описание заказа, переписка, дополнительные сведения) данные о состоянии здоровья, а также иные специальные персональные данные. Сведения, размещённые пользователем в нарушение этого запрета, удаляются по обращению субъекта или по инициативе Оператора.
2.5. Персональные данные обрабатываются и хранятся на территории Республики Беларусь. Трансграничная передача осуществляется только в объёме, указанном в главе 7 настоящей Политики.
2.6. По истечении сроков хранения персональные данные удаляются.
ГЛАВА 3. ПОРЯДОК ПОЛУЧЕНИЯ СОГЛАСИЯ
3.1. Согласие представляет собой свободное, однозначное, информированное выражение воли субъекта персональных данных.
3.2. В Приложении согласие выражается проставлением отметки в соответствующем поле при регистрации. Согласия запрашиваются раздельно по целям: согласие, полученное одной общей отметкой «согласен со всем», не является согласием ни на одну конкретную цель.
3.3. Раздельно запрашиваются:
| Согласие | Обязательность | Цель |
|---|---|---|
| Обработка персональных данных для регистрации и работы Приложения | Обязательно — без него регистрация невозможна | Пункты 4.1–4.4 |
| Размещение фотографии профиля и портфолио | Необязательно | Пункт 4.5 |
| Продуктовая аналитика | Необязательно | Пункт 4.6 |
3.4. Отказ от необязательных согласий не ограничивает доступ к Приложению и не влияет на возможность размещать заказы и откликаться на них.
3.5. Согласие может быть отозвано в любой момент — в Приложении («Профиль → Согласия») либо обращением по адресу, указанному в пункте 1.3. Отзыв согласия не распространяется на обработку, которая осуществляется на ином правовом основании (в частности, на исполнение договора и на исполнение обязанностей, предусмотренных законодательством).
3.6. Дата и время выдачи (отзыва) согласия, его цель и номер редакции документа, с которым согласился субъект, фиксируются Оператором.
ГЛАВА 4. ЦЕЛИ, КАТЕГОРИИ, ПЕРЕЧЕНЬ, ПРАВОВЫЕ ОСНОВАНИЯ И СРОКИ
4.1. Регистрация и ведение учётной записи
Категории субъектов: физические лица, регистрирующие учётную запись в Приложении (заказчики и исполнители).
Перечень данных:
- обязательные: номер мобильного телефона, фамилия и собственное имя (либо указанное пользователем имя), роль (заказчик/исполнитель), внутренний идентификатор, IP-адрес, сведения о сессиях и датах входа;
- необязательные: адрес электронной почты, сведения «о себе», регион и населённый пункт работы (для исполнителей), категории работ.
Правовое основание: договор, заключаемый с субъектом персональных данных (абзац 15 статьи 6 Закона № 99-З) — Пользовательское соглашение; согласие субъекта (статья 5 Закона № 99-З) в части необязательных данных.
Срок хранения: до удаления учётной записи пользователем либо в течение 1 года после прекращения Пользовательского соглашения.
4.2. Размещение заказов, направление откликов и исполнение сделок
Категории субъектов: заказчики, размещающие заказы; исполнители, направляющие отклики.
Перечень данных:
- сведения о заказе: категория работ, область, город (район), населённый пункт, улица и дом, желаемый срок, описание, фотографии и приложенные документы (сметы, чертежи, техническое задание);
- сведения об отклике: цена, дополнительные работы и их стоимость, сроки начала и окончания, описание;
- сведения о дополнительных работах, согласованных в процессе исполнения;
- итоговая сумма сделки, подтверждённая заказчиком, и указанная им причина её отличия от расчётной;
- реквизиты организации, от имени которой размещён заказ (для юридических лиц и индивидуальных предпринимателей): наименование, УНП, свидетельство о государственной регистрации, сведения о контактном лице.
Ограничение доступа. До выбора исполнителя адрес заказа отображается исполнителям только до улицы. Полный адрес становится доступен исключительно тому исполнителю, которого выбрал заказчик. Номер телефона ни заказчика, ни исполнителя другой стороне не передаётся — стороны общаются в переписке внутри Приложения.
Правовое основание: договор, заключаемый с субъектом персональных данных (абзац 15 статьи 6 Закона № 99-З).
Срок хранения: 3 года с даты закрытия заказа.
4.3. Переписка сторон и поддержка пользователей
Категории субъектов: заказчики и исполнители, ведущие переписку по заказу; лица, обратившиеся в службу поддержки.
Перечень данных: содержание сообщений, вложенные файлы и изображения, сведения об отправителе и времени отправки; содержание обращения в поддержку и контактные данные для ответа.
Вложения в переписке хранятся в защищённом хранилище и выдаются только участникам переписки по временным ссылкам ограниченного срока действия.
Правовое основание: договор, заключаемый с субъектом персональных данных (абзац 15 статьи 6 Закона № 99-З).
Срок хранения: 3 года с даты закрытия заказа; по обращениям в поддержку — 1 год с даты ответа.
4.4. Уведомления о событиях по заказу
Категории субъектов: зарегистрированные пользователи Приложения.
Перечень данных: номер мобильного телефона (SMS с кодом подтверждения), идентификатор устройства для доставки push-уведомлений.
Содержание уведомлений: новый отклик на заказ, выбор исполнителя, предложение дополнительных работ и ответ на него, сообщение в переписке, приближение срока работ, начисление и оплата комиссии.
Правовое основание: договор, заключаемый с субъектом персональных данных (абзац 15 статьи 6 Закона № 99-З). Уведомления о событиях по заказу являются существом услуги, а не рекламной рассылкой. Пользователь управляет составом уведомлений в разделе «Профиль → Уведомления».
Рекламные сообщения Оператор не направляет.
Срок хранения: идентификатор устройства — до его отзыва пользователем или до удаления учётной записи.
4.5. Фотография профиля и портфолио работ
Категории субъектов: пользователи, разместившие фотографию профиля либо работы в портфолио.
Перечень данных: изображение пользователя, изображения выполненных работ.
Правовое основание: согласие субъекта персональных данных (статья 5 Закона № 99-З). Для оказания услуги эти данные не требуются.
Срок хранения: до отзыва согласия либо до удаления учётной записи.
4.6. Продуктовая аналитика
Категории субъектов: пользователи, давшие согласие на аналитику.
Перечень данных: сведения о действиях в Приложении (открытие экранов, шаги оформления заказа), идентификатор сессии, внутренний идентификатор пользователя, тип устройства и версия приложения.
Аналитика используется исключительно для улучшения работы Приложения. Данные третьим лицам в рекламных целях не передаются.
Правовое основание: согласие субъекта персональных данных (статья 5 Закона № 99-З).
Срок хранения: 1 год с даты события либо до отзыва согласия.
4.7. Проверка исполнителя (верификация)
Категории субъектов: физические лица, индивидуальные предприниматели и представители юридических лиц, направившие заявку на подтверждение статуса исполнителя.
Перечень данных: фамилия, собственное имя, отчество; изображение страниц паспорта (страницы 32–33) либо обеих сторон идентификационной карты; для индивидуальных предпринимателей и юридических лиц — УНП, наименование, изображение свидетельства о государственной регистрации.
Изображения документов хранятся в защищённом хранилище, доступны только администратору при рассмотрении заявки и выдаются по временным ссылкам ограниченного срока действия. Заказчикам документы не показываются.
Правовое основание: согласие субъекта персональных данных (статья 5 Закона № 99-З).
Срок хранения: изображения документов удаляются после принятия решения по заявке. Заявки, направленные на доработку и не доработанные заявителем, удаляются вместе с приложенными документами по истечении 90 дней. Сведения о результате проверки (статус, правовая форма, наименование) сохраняются в течение срока действия учётной записи.
4.8. Расчёты по вознаграждению Оператора (комиссии)
Категории субъектов: исполнители, у которых возникло обязательство по уплате комиссии.
Перечень данных: сумма сделки, сумма комиссии, счета и их состояние, сведения о попытках списания; по привязанной банковской карте — платёжный токен, платёжная система, последние четыре цифры номера и срок действия.
Полный номер банковской карты Оператор не получает, не обрабатывает и не хранит ни на каком этапе. Реквизиты карты вводятся на стороне платёжной организации, которая возвращает Оператору платёжный токен. Код проверки подлинности карты (CVV/CVC) Оператор не запрашивает.
Правовое основание: договор, заключаемый с субъектом персональных данных (абзац 15 статьи 6 Закона № 99-З); ведение бухгалтерского и налогового учёта — исполнение обязанностей, предусмотренных законодательными актами (абзац 20 статьи 6 Закона № 99-З).
Срок хранения: 3 года после проведения налоговым органом проверки соблюдения налогового законодательства; платёжный токен — до отвязки карты пользователем.
4.9. Отзывы и оценки
Категории субъектов: заказчики, оставившие отзыв; исполнители, о которых оставлен отзыв.
Перечень данных: оценка, текст отзыва, фотографии результата работы, сведения об авторе отзыва (имя, фотография профиля при наличии).
Отзывы отображаются в Приложении открыто — в этом их назначение.
Правовое основание: договор, заключаемый с субъектом персональных данных (абзац 15 статьи 6 Закона № 99-З).
Срок хранения: 3 года с даты закрытия заказа.
4.10. Обеспечение безопасности и разбор инцидентов
Категории субъектов: пользователи Приложения.
Перечень данных: сведения о входах и попытках входа, смене пароля, блокировке учётной записи, действиях администраторов, IP-адрес, время события.
Правовое основание: исполнение обязанностей, предусмотренных законодательными актами (абзац 20 статьи 6 Закона № 99-З), в том числе требований по защите информации.
Срок хранения: 400 дней.
4.11. Рассмотрение обращений субъектов персональных данных
Категории субъектов: субъекты персональных данных, обратившиеся к Оператору в порядке реализации своих прав.
Перечень данных: фамилия и собственное имя, контактные данные для ответа, содержание обращения и ответа.
Правовое основание: исполнение обязанностей, предусмотренных Законом № 99-З (абзац 20 статьи 6 Закона № 99-З).
Срок хранения: 5 лет с даты последнего обращения.
4.12. Бухгалтерский и налоговый учёт, делопроизводство
Категории субъектов: пользователи и контрагенты, с которыми у Оператора возникли расчёты.
Перечень данных: сведения, необходимые для оформления первичных учётных документов.
Правовое основание: исполнение обязанностей, предусмотренных законодательными актами (абзац 20 статьи 6 Закона № 99-З).
Срок хранения: в соответствии с Перечнем типовых документов, утверждённым постановлением Министерства юстиции Республики Беларусь от 24.05.2012 № 140.
ГЛАВА 5. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
5.1. Субъект персональных данных имеет право:
- получить информацию об обработке своих персональных данных — какие данные, с какой целью, на каком основании и кому предоставлялись;
- отозвать согласие на обработку;
- требовать внесения изменений в свои персональные данные, если они неполны, устарели или неточны;
- требовать прекращения обработки и удаления персональных данных при отсутствии иных оснований для их обработки;
- получить информацию о предоставлении своих персональных данных третьим лицам;
- обжаловать действия (бездействие) и решения Оператора.
5.2. Обращение подаётся на адрес электронной почты, указанный в пункте 1.3, либо по месту нахождения Оператора. Обращение должно содержать фамилию, собственное имя, отчество (при наличии), адрес для ответа, изложение существа требования и личную подпись либо электронную цифровую подпись — за исключением обращений, подаваемых через Приложение, где личность субъекта подтверждена входом в учётную запись.
5.3. Оператор рассматривает обращение и даёт ответ в течение 15 календарных дней со дня его получения.
5.4. Удаление учётной записи осуществляется пользователем самостоятельно в разделе «Профиль». Порядок удаления, в том числе для случая, когда доступ к Приложению утрачен, описан по адресу https://rivox.by/legal/data-deletion. При удалении учётной записи удаляются: профиль, фотография и портфолио, документы верификации, сообщения переписки, сведения об устройствах. Сведения, которые Оператор обязан хранить в силу законодательства (учётные документы, журнал событий безопасности), сохраняются в течение установленных для них сроков.
5.5. Действия Оператора могут быть обжалованы в Национальный центр защиты персональных данных Республики Беларусь (220030, г. Минск, ул. Кирова, 8, корп. 1; https://cpd.by).
ГЛАВА 6. МЕРЫ ПО ОБЕСПЕЧЕНИЮ ЗАЩИТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ
6.1. Оператор принимает правовые, организационные и технические меры по обеспечению защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, распространения и предоставления, а также от иных неправомерных действий.
6.2. К числу применяемых мер относятся:
- назначение лица, ответственного за осуществление внутреннего контроля за обработкой персональных данных;
- установление порядка доступа к персональным данным и разграничение прав доступа;
- передача данных между Приложением и сервером исключительно по защищённому каналу связи;
- хранение паролей в виде необратимых хеш-значений;
- прекращение сессии при отсутствии активности пользователя более 30 минут;
- хранение документов, удостоверяющих личность, и вложений переписки в защищённом хранилище с выдачей по временным ссылкам ограниченного срока действия;
- ведение журнала событий безопасности;
- резервное копирование;
- ознакомление работников, осуществляющих обработку персональных данных, с требованиями законодательства и локальных правовых актов.
6.3. Оператор обеспечивает неограниченный доступ к тексту настоящей Политики по адресу, указанному в пункте 1.7.
ГЛАВА 7. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ ТРЕТЬИМ ЛИЦАМ
7.1. Оператор привлекает к обработке персональных данных уполномоченных лиц на основании договоров, предусматривающих обязанность соблюдения конфиденциальности и требований законодательства о персональных данных:
| Уполномоченное лицо | Что обрабатывает | Территория |
|---|---|---|
| Поставщик услуг размещения (хостинга) — резидент Республики Беларусь | Хранение и обработка всех данных Приложения | Республика Беларусь |
| Операторы электросвязи Республики Беларусь и поставщик услуг рассылки SMS | Номер мобильного телефона — для доставки кода подтверждения | Республика Беларусь |
| Google LLC (сервис Firebase Cloud Messaging) | Идентификатор устройства и текст уведомления — для доставки push-уведомлений | США |
| Платёжная организация, обеспечивающая приём платежей | Реквизиты банковской карты (Оператору не передаются), сумма и назначение платежа | Республика Беларусь |
7.2. Трансграничная передача осуществляется только в объёме, указанном в строке о доставке push-уведомлений, и только в отношении идентификатора устройства и текста уведомления. Персональные данные, позволяющие идентифицировать субъекта, в текст уведомления не включаются сверх необходимого для понимания события по заказу.
7.3. Персональные данные предоставляются государственным органам в случаях и порядке, предусмотренных законодательными актами.
7.4. Оператор не продаёт персональные данные и не передаёт их третьим лицам в рекламных целях.