Политика обработки персональных данных Filmash ERP

1 Оператор и область действия

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных при использовании Filmash ERP. Оператор: Индивидуальный предприниматель Васильев Филипп Евгеньевич, ОГРНИП 325632700039206, ИНН 632130872403. Контакт по вопросам персональных данных: sales@filmash.ru.

1.2. Политика применяется к основному порталу https://erp.filmash.ru, партнерским порталам на поддоменах filmash.ru, например xxx.filmash.ru, на которых предоставляется Filmash ERP, а также к официальному Android-приложению и официальным приложениям для Windows, macOS и iOS при их выпуске.

1.3. Политика описывает обработку данных посетителей и пользователей, клиентов и лиц, обращающихся до заключения договора, представителей заказчиков и контрагентов, а также участников коммуникаций в объеме, необходимом для предусмотренных ниже целей. Кадровые процессы, не связанные с работой учетных записей в ERP, регулируются отдельно.

1.4. Политика не является согласием на обработку данных. Посещение портала, принятие пользовательского соглашения и выдача разрешения на камеру или микрофон не заменяют согласие там, где оно требуется законом.

2 Основной и партнерские порталы

2.1. ИП Васильев Филипп Евгеньевич выступает оператором в отношении обработки, цели и состав которой он определяет самостоятельно: предоставления сервиса, собственных договоров, поддержки, безопасности и исполнения установленных законом обязанностей.

2.2. Если партнер самостоятельно определяет цели обработки данных своих клиентов, сотрудников или представителей, такой партнер выступает самостоятельным оператором соответствующей обработки. Обработка этих данных владельцем облачной системы выполняется по поручению партнера в предусмотренных законом и договором пределах. Роли сторон определяются по каждой операции с учетом фактических обстоятельств.

2.3. Партнер предоставляет субъектам сведения о своем наименовании, контактах, целях, правовых основаниях и получателях данных и оформляет необходимые основания передачи данных в ERP. Настоящая Политика не заменяет документы самостоятельного оператора-партнера.

2.4. Размещение портала на поддомене filmash.ru само по себе не означает разрешения раскрывать данные другим партнерам. Доступ и обмен данными между организациями допускаются только в необходимом объеме, при наличии правового основания и соответствующих полномочий.

3 Цели и состав обрабатываемых данных

3.1. Предоставление доступа и управление учетными записями. Обрабатываются ФИО, рабочие контакты, сведения об организации и должности, роль и права доступа, идентификаторы пользователя и сведения для авторизации. Основание — исполнение договора, необходимые действия по его заключению, законный интерес в обеспечении безопасности при соблюдении прав субъекта либо отдельное согласие в применимых случаях. Данные используются в период предоставления доступа; после его окончания сохраняется только необходимая для исполнения закона, завершения обязательств и защиты прав информация.

3.2. Договорная работа с клиентами и представителями. Обрабатываются ФИО, контактные данные, адрес, необходимые сведения о документе, удостоверяющем личность, полномочиях представителя, договоре и расчетах. При необходимости для конкретной сделки — сведения о транспортном средстве и связанных документах, позволяющие установить его владельца или участника сделки. Основание — заключение по инициативе субъекта и исполнение договора с его участием, требования закона либо отдельное согласие. Срок обработки связан с заключением и исполнением конкретного договора, обязательными сроками хранения документов и обоснованной необходимостью защиты прав.

3.3. Обработка обращений и поддержка. Обрабатываются имя, контакты, содержание обращения, относящиеся к нему вложения и сведения о действиях в системе. Основание — рассмотрение запроса субъекта, исполнение договора, законный интерес в восстановлении работы сервиса при соблюдении прав субъекта либо согласие. Обработка продолжается до разрешения обращения и завершения связанных обязательств; дальнейшее хранение допускается только при наличии самостоятельного законного основания.

3.4. Рабочие коммуникации. При использовании соответствующих функций обрабатываются адресаты, идентификаторы участников, содержание сообщений и вложений, сведения о звонках и соединениях. Аудио, видео и записи обрабатываются только при использовании соответствующей функции и наличии необходимых оснований. Объем и срок определяются целью коммуникации, договором и требованиями закона. Согласие на рекламные сообщения оформляется отдельно и не является условием использования основных функций.

3.5. Работа и защита технических средств. Обрабатываются IP-адрес, дата и время обращений, сведения о браузере, приложении и устройстве, идентификаторы сеансов, технические журналы, необходимые cookie и данные локального хранилища, а при подключении уведомлений — push-токены. Основание — предоставление и защита сервиса, законные обязанности и законный интерес при соблюдении прав субъекта. Сведения используются в пределах срока, необходимого для работы функции, выявления и расследования инцидентов; их хранение для посторонних целей не допускается.

4 Паспортные данные и изображения документов

4.1. Для конкретного договора или предусмотренной законом процедуры могут обрабатываться фамилия, имя, отчество, дата и место рождения, серия и номер паспорта, дата выдачи, наименование выдавшего органа, код подразделения и адрес регистрации. Каждый реквизит собирается только при необходимости для заявленной цели. Наличие поля в форме ERP не делает его заполнение обязательным.

4.2. Копия или фотография паспорта запрашивается только тогда, когда обработку изображения можно обосновать отдельно от обработки текстовых реквизитов. Полная копия документа не собирается автоматически лишь потому, что для договора необходимы серия и номер. Лишние страницы, отметки и сведения о других лицах должны исключаться или закрываться до передачи, если для них отсутствует самостоятельное основание.

4.3. ИНН и СНИЛС физических лиц обрабатываются только для конкретной необходимой цели и при наличии основания. Обычная регистрация пользователя ERP не требует загрузки паспорта или СНИЛС.

4.4. Сведения о здоровье, включая группу крови и резус-фактор, не требуются для обычной договорной работы и не должны вноситься в ERP в рамках таких целей. Обработка специальных категорий допускается только при самостоятельном основании, предусмотренном статьей 10 Закона № 152-ФЗ. Общая ссылка на паспорт или пользовательское соглашение такого основания не создает.

4.5. Данные детей, супруга и других лиц, указанные в документе, не охватываются автоматически основанием обработки данных владельца паспорта. До их внесения необходимо определить самостоятельную цель, достаточное основание и, когда требуется, полномочия законного представителя. Для обычной идентификации стороны договора такие отметки должны исключаться.

4.6. Использование фотографии лица или голоса именно для установления личности рассматривается отдельно с учетом требований к биометрическим данным. Распознавание текстовых реквизитов документа не дает разрешения применять изображение для распознавания лица или иной биометрической идентификации.

5 Источники и способы обработки

5.1. Данные поступают непосредственно от субъекта, его уполномоченного представителя либо от заказчика или партнера при подтвержденном законном основании. При получении данных не от самого субъекта выполняются обязанности по его информированию, если предусмотренное законом исключение не применяется.

5.2. Обработка может включать сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление определенным получателям, блокирование, удаление и уничтожение. Используются автоматизированные средства и, когда необходимо, обработка без автоматизации. Состав операций ограничивается конкретной целью.

5.3. Распознавание документов и другие средства автоматизации допускаются только в необходимом объеме. До использования отдельного поставщика распознавания должны быть установлены его статус, условия обработки, место обработки и необходимые правовые основания. Передача паспорта такому поставщику не разрешается одним фактом загрузки файла в ERP.

5.4. Перед сохранением и использованием результатов распознавания уполномоченный пользователь проверяет реквизиты. Принятие решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права, исключительно на основе автоматизированной обработки допускается только в предусмотренных законом случаях и порядке.

6 Доступ и передача данных

6.1. Доступ предоставляется только лицам, которым данные необходимы для соответствующей работы, в пределах их полномочий и с соблюдением конфиденциальности. Публичное распространение персональных данных и размещение паспортов в открытом доступе настоящей Политикой не разрешаются.

6.2. При исполнении конкретной операции данные могут предоставляться уполномоченным работникам, представителям сторон, поставщикам хостинга, резервного копирования, поддержки и коммуникаций, а также иным исполнителям, которым поручена соответствующая обработка. Передача банкам, операторам связи, перевозчикам, таможенным представителям и другим самостоятельным получателям допускается только при их участии в конкретной операции и достаточном правовом основании.

6.3. Состав передаваемых данных ограничивается необходимым. Привлечение обработчика оформляется поручением с предусмотренными законом требованиями, включая цели, операции, категории данных, конфиденциальность, безопасность, подтверждение выполнения обязанностей и взаимодействие при инцидентах.

6.4. Использование Telegram, push-уведомлений, видеосвязи, внешних AI-функций и иных интеграций оценивается отдельно по конкретному маршруту данных. Подключение сервиса пользователем не означает разрешения передавать ему любые документы. Сведения о соответствующих получателях и основаниях предоставляются субъекту в предусмотренном законом порядке. Государственным органам данные предоставляются при наличии законного требования.

7 Место обработки и трансграничная передача

7.1. Сведения об обработке, включая место обработки данных и сведения о получателях, предоставляются субъекту по запросу в предусмотренном законом порядке. Адрес сайта и доменная зона сами по себе не определяют место нахождения базы данных.

7.2. При сборе данных граждан Российской Федерации соблюдаются требования части 5 статьи 18 Закона № 152-ФЗ. Согласие субъекта не используется для обхода обязательных требований к месту выполнения предусмотренных этой нормой операций.

7.3. Передача иностранным получателям, включая передачу через подключенные внешние сервисы, допускается только после выполнения применимых требований статьи 12 Закона № 152-ФЗ, в том числе оценки получателя, получения необходимых сведений и уведомления Роскомнадзора, когда оно требуется. Настоящая Политика не является общим разрешением на передачу данных в любую страну.

8 Хранение и уничтожение

8.1. Данные хранятся в форме, позволяющей определить субъекта, не дольше, чем необходимо для соответствующей цели, если иной срок не установлен законом или применимым договором. Для договорных, учетных и иных обязательных документов применяются относящиеся к ним сроки хранения; наличие таких документов не оправдывает бессрочное хранение всех копий паспорта.

8.2. Изображения документов, полученные только для извлечения реквизитов, должны удаляться после проверки результата и утраты необходимости в изображении, если отсутствует самостоятельное основание дальнейшего хранения. Отдельное сохранение изображения как вложения требует собственной необходимой цели и срока.

8.3. При достижении цели или отзыве согласия данные уничтожаются в сроки, предусмотренные законом, обычно не позднее тридцати дней при отсутствии другого законного основания обработки. Требования о прекращении обработки рассматриваются с учетом предусмотренного законом срока и исключений.

8.4. Резервное копирование не является самостоятельной целью обработки и не продлевает допустимые сроки произвольно. Удаление и блокирование охватывают рабочие системы, доступные копии и привлеченных обработчиков в установленном законом порядке. При технической невозможности своевременного уничтожения применяются предусмотренные законом блокирование и последующее уничтожение.

9 Меры защиты

9.1. Оператор организует правовые, организационные и технические меры защиты с учетом состава данных, угроз и применимых требований: управление полномочиями, ограничение доступа, учет действий, защиту каналов передачи, управление учетными записями, резервное копирование и восстановление, обработку инцидентов и контроль исполнителей.

9.2. Конкретный набор мер определяется для используемых информационных систем. Сотрудники и привлеченные лица допускаются к данным по служебной необходимости и с обязанностью соблюдать конфиденциальность. Подробности, раскрытие которых создает угрозу безопасности, публично не размещаются.

9.3. При выявлении неправомерного доступа или иной утечки принимаются меры по прекращению нарушения и уменьшению последствий, выполняются необходимые уведомления и расследование в предусмотренном законом порядке.

10 Права субъекта и обращения

10.1. Субъект вправе получать предусмотренную законом информацию об обработке своих данных, знакомиться с ними, требовать уточнения, блокирования, прекращения обработки или уничтожения при наличии оснований, отзывать согласие и обжаловать действия оператора в Роскомнадзор или суд.

10.2. Обращения направляются на sales@filmash.ru с темой «Персональные данные». Для поиска данных следует указать ФИО, контакт для ответа, связанный аккаунт или договор, если они известны, и суть обращения. Полномочия представителя и личность заявителя подтверждаются в необходимом объеме и предусмотренным законом способом. Не следует направлять полную копию паспорта по обычной электронной почте без необходимости.

10.3. Информация о наличии и обработке данных предоставляется в течение десяти рабочих дней; в допускаемых законом случаях срок может быть продлен не более чем на пять рабочих дней с мотивированным уведомлением. Для уточнения, прекращения обработки и уничтожения применяются специальные сроки закона.

10.4. Если данные обрабатываются ИП по поручению партнера, обращение рассматривается во взаимодействии с соответствующим партнером с учетом распределения обязанностей. Такое распределение не ограничивает права субъекта.

10.5. Отзыв согласия прекращает обработку на этом основании, но не отменяет самостоятельные обязанности и основания, прямо предусмотренные законом. Возможные последствия для исполнения конкретного договора разъясняются субъекту; отказ от необязательной обработки не должен препятствовать независящим от нее функциям.

11 Согласия и технические разрешения

11.1. Когда основанием является согласие, оно оформляется отдельно, для конкретных целей и перечня данных, с возможностью подтвердить факт его получения. Если закон требует письменную форму, используется письменное согласие или соответствующий ему электронный документ с электронной подписью в установленном порядке.

11.2. Обязательные технические cookie и локальное хранилище используются для авторизации, настроек и обеспечения работы сервиса. Необязательные аналитические и рекламные технологии подключаются только при наличии необходимых оснований и информировании пользователя. Настройки браузера и устройства могут ограничивать отдельные функции.

11.3. Разрешение устройства на микрофон, камеру, доступ к файлам или уведомлениям регулирует технический доступ и не заменяет необходимые согласия и иные основания обработки данных. Распространение данных, реклама и биометрическая обработка не включаются в общее согласие на использование ERP.

12 Изменение Политики и контакты

12.1. Действующая редакция Политики размещается в доступном разделе основного портала и соответствующих партнерских порталов. При изменении целей, состава получателей или способов обработки предоставляется необходимая информация и оформляются новые основания, если они требуются. Публикация новой редакции не создает задним числом отсутствовавшее согласие.

12.2. Оператор: Индивидуальный предприниматель Васильев Филипп Евгеньевич. ОГРНИП 325632700039206. ИНН 632130872403. Электронная почта: sales@filmash.ru.