ПОВСТО
Политика обработки персональных данных
Информирование субъектов ПДн в соответствии со ст. 18.1 ч. 1 п. 2 152-ФЗ
152-ФЗ · ПП-1119 · Приказ ФСТЭК № 21📋 Общие положения
Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и определяет порядок обработки персональных данных Оператором при использовании Вами личного кабинета по адресу lk.povsto.ru.
Политика распространяется на все категории персональных данных, обрабатываемых Оператором при предоставлении Вам доступа к Сервису.
📊 Категории обрабатываемых ПДн
Оператор обрабатывает следующие категории Ваших персональных данных:
- Идентификационные: фамилия, имя, отчество; для индивидуальных предпринимателей — также место рождения
- Контактные: номер телефона, email, идентификаторы мессенджеров
- Адресные: юридический, фактический и почтовый адреса организации
- Корпоративные реквизиты: наименование организации, ИНН, КПП, ОГРН, ОКПО, ОКВЭД, должность представителя
- Сведения о страховых отношениях: номер и тип полиса, период страхования, страховая сумма, сведения о выгодоприобретателе и о страховых случаях
- Учётные: логин, хэш пароля, секреты многофакторной аутентификации, токены OAuth-провайдеров
- Технические: IP-адрес, идентификатор устройства, user-agent, журналы доступа
- Документы и файлы: скан-копии, договоры, заявления, иные документы, загружаемые в Платформу
- Финансовые сведения: суммы страховых взносов и выплат, статусы оплат
- Содержание коммуникаций: опросы, голосования, обращения, сообщения, переписка с AI-ассистентом
- Сведения о моих отношениях с Оператором: договоры, обращения, иное
- Голосовые сообщения и их транскрипции (обрабатываются только при наличии отдельного согласия по ст. 9 152-ФЗ; для установления личности не используются и биометрическими ПДн не являются)
🎯 Цели обработки
Ваши персональные данные обрабатываются исключительно для следующих целей:
- Идентификация и аутентификация при входе в личный кабинет
- Исполнение договорных отношений между Вами и Оператором
- Ведение электронного документооборота
- Формирование страховой и финансовой отчётности Оператора
- Информирование о статусе ваших отношений с Оператором (уведомления, объявления, напоминания)
- Участие в опросах и голосованиях
- Обработка обращений
- Соблюдение требований законодательства Российской Федерации
⚖️ Правовые основания
Обработка Ваших ПДн осуществляется на следующих правовых основаниях:
- ст. 6 ч. 1 п. 5 152-ФЗ — необходимость исполнения договора;
- ст. 6 ч. 1 п. 1 152-ФЗ — Ваше согласие (для определённых категорий обработки);
- ст. 9 152-ФЗ — отдельное согласие на обработку голосовых сообщений (записи голоса);
- ст. 6 ч. 3 152-ФЗ — поручение Оператора Обработчику.
🌐 Локализация и хранение
В соответствии со ст. 18 ч. 5 152-ФЗ обработка Ваших ПДн осуществляется исключительно на территории Российской Федерации. Трансграничная передача Ваших ПДн в иностранные юрисдикции не осуществляется.
Сроки хранения ПДн:
| Категория | Срок хранения | Норма |
|---|---|---|
| ПДн в связи с договором | Срок договора + 5 лет | ст. 23 НК, ст. 29 ФЗ-402 |
| Журналы доступа, audit-логи | 3 года | Поручение ПДн § 5 |
| Резервные копии | 30 дней (Object Lock COMPLIANCE) | SLA § 3.1 |
| Согласия на обработку | Срок действия + 3 года | ст. 9 ч. 6 |
| Акты уничтожения ПДн | 3 года | Приказ РКН № 179 |
🔁 Передача третьим лицам (sub-обработчикам)
Ваши ПДн могут передаваться следующим лицам, осуществляющим обработку по поручению Оператора:
| Sub-обработчик | Назначение |
|---|---|
| Хостинг-провайдер (на территории РФ) | Размещение БД и файлового хранилища |
| ООО «Яндекс.Облако» (объектное хранилище) | Хранение зашифрованных резервных копий в другом регионе; временное размещение голосовых сообщений для распознавания речи |
| ООО «Яндекс.Облако» (YandexGPT Pro) | AI-извлечение данных из документов (по Вашему явному запросу); формирование AI-сводки видеовстреч (при включённой функциональности) |
| ООО «Яндекс.Облако» (Yandex Vision OCR) | Распознавание текста на изображениях и в скан-копиях документов |
| ООО «Яндекс.Облако» (YandexART) | Генерация изображений по текстовому описанию (по Вашему запросу) |
| ООО «Яндекс.Облако» (Yandex Translate) | Перевод текста между языками (по Вашему запросу) |
| ООО «Яндекс.Облако» (Yandex SpeechKit) | Транскрипция голосовых сообщений и аудиодорожек видеовстреч (при отдельном согласии по ст. 9) |
| ООО «Коммуникационная платформа» (мессенджер MAX) | Доставка уведомлений и приём сообщений через MAX-канал |
🛡️ Меры защиты
Применяемые технические и организационные меры защиты соответствуют 3-му уровню защищённости (УЗ-3) информационной системы персональных данных в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и Приказом ФСТЭК России от 18.02.2013 № 21.
- Шифрование канала передачи данных: протокол TLS версии 1.2 и выше с обязательным согласованием сеансового ключа по схеме ECDHE (совершенная прямая секретность) и применением исключительно шифронаборов с аутентифицированным шифрованием (AEAD) — AES-GCM, ChaCha20-Poly1305; шифронаборы на основе режима CBC и алгоритм 3DES не поддерживаются
- Шифрование резервных копий криптографическими средствами
- Многофакторная аутентификация для административного доступа
- Ролевая модель доступа (RBAC)
- Автоматическое обновление средств безопасности
- Мониторинг событий безопасности, защита от вторжений и контроль целостности штатными средствами
- Защита от подбора паролей: блокировка по адресу и ограничение частоты попыток входа
- Изоляция процессов средствами мандатного разграничения доступа
- Раздельное хранение: структурные данные и загруженные документы хранятся отдельно
- Минимизация состава обрабатываемых данных и регулярная ревизия их перечня
- Антивирусный контроль
- Двухкомпонентный escrow ключей шифрования (см. SLA § 3.1)
👤 Ваши права как субъекта ПДн
В соответствии со ст. 14, 16, 20, 21 152-ФЗ Вы имеете право:
- На получение информации об обработке Ваших ПДн (срок ответа — 10 рабочих дней + 5 при мотивированном продлении, ст. 20 ч. 1)
- На уточнение, блокирование и уничтожение неточных, неактуальных, незаконно полученных ПДн
- На отзыв согласия в любое время (ст. 9 ч. 2 152-ФЗ)
- На возражение против автоматизированного принятия решений (в т.ч. AI-обработки)
- На обжалование действий Оператора в Роскомнадзоре или суде
🚨 Действия при инциденте
В случае инцидента, повлёкшего неправомерный или случайный доступ к Вашим ПДн, Оператор:
- В течение 24 часов уведомляет Роскомнадзор о факте инцидента (ст. 21 ч. 3.1 152-ФЗ);
- В течение 72 часов направляет в Роскомнадзор сведения о результатах внутреннего расследования;
- Уведомляет Вас о произошедшем инциденте в разумные сроки.