Политика обработки персональных данных технологического поставщика

📋 Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных, которую осуществляет ИП Карпова Н. В. (далее — «Исполнитель» или «лицо, осуществляющее обработку») в интересах операторов персональных данных, использующих программный комплекс «ЛК-ПОВСТО» (далее — «Платформа»).

Политика распространяется на:

• персональные данные, передаваемые Исполнителю операторами-клиентами для обработки в Платформе;
• персональные данные, предоставляемые непосредственно субъектами при использовании Платформы;
• персональные данные работников Исполнителя, обрабатываемые в связи с трудовыми отношениями и администрированием Платформы.

📖 Понятия и термины

В Политике используются термины и определения, установленные статьёй 3 152-ФЗ. Для целей настоящей Политики:

• Персональные данные (ПДн) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПДн);
• Оператор — организация, самостоятельно или совместно с другими лицами организующая и/или осуществляющая обработку ПДн, а также определяющая цели обработки и состав ПДн;
• Обработчик / лицо, осуществляющее обработку ПДн — лицо, обрабатывающее ПДн по поручению Оператора в соответствии со ст. 6 ч. 3 152-ФЗ. В рамках Платформы таким лицом выступает Исполнитель;
• Обработка ПДн — любое действие или совокупность действий с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение;
• Согласие — свободное, конкретное, информированное и сознательное выражение воли субъекта ПДн в отношении обработки его ПДн.

👥 Категории субъектов персональных данных

📊 Состав обрабатываемых персональных данных

• Идентификационные данные: фамилия, имя, отчество;
• Контактные данные: номера телефонов, адреса электронной почты, идентификатор в мессенджере MAX;
• Адресные данные: юридический, фактический и почтовый адреса организаций;
• Корпоративные реквизиты: ИНН, КПП, ОГРН, ОКПО, ОКВЭД, должность представителя;
• Учётные данные: логин, хэш пароля, секреты многофакторной аутентификации, Passkey-устройства, токены OAuth-провайдера;
• Документы: договоры, заявления и иные документы, загружаемые в Платформу пользователями или операторами-клиентами;
• Сведения о страховых отношениях: номера полисов, страховые суммы, периоды страхования, выгодоприобретатели (применимо к страховой вертикали Платформы);
• Финансовые сведения: суммы платежей, статусы оплат;
• Голосовые данные: голосовые сообщения и их транскрипции (в обращениях через мессенджеры);
• Технические данные: IP-адреса, идентификаторы устройств, user-agent, журналы посещений, время последнего входа;
• Содержание коммуникаций: сообщения в опросах, голосованиях, обращениях и переписке.

Передача в Платформу персональных данных, не входящих в указанный перечень, согласовывается с Исполнителем заранее.

🎯 Цели обработки

1. Предоставление операторам-клиентам функциональности Платформы в соответствии с заключёнными договорами;
2. Идентификация и аутентификация пользователей при входе в Платформу;
3. Обеспечение функционирования персональных кабинетов пользователей;
4. Хранение и обработка документов, передаваемых пользователями и операторами-клиентами;
5. Формирование документов, отчётности и аналитики в рамках штатных функций Платформы;
6. Информирование пользователей о работе Платформы (системные уведомления, послания, напоминания);
7. Техническая поддержка пользователей;
8. Соблюдение требований законодательства Российской Федерации.

⚖️ Правовые основания обработки

• ст. 6 ч. 1 п. 5 152-ФЗ — необходимость исполнения договора с оператором-клиентом;
• ст. 6 ч. 1 п. 1 152-ФЗ — согласие субъекта персональных данных;
• ст. 6 ч. 3 152-ФЗ — поручение оператора-клиента на обработку;
• Трудовой кодекс Российской Федерации — для работников Исполнителя.

⏳ Способы и сроки обработки

Обработка осуществляется автоматизированно с использованием программно-аппаратных средств Платформы. Неавтоматизированная обработка применяется в исключительных случаях (например, обращения субъектов на бумажных носителях).

Персональные данные хранятся в течение срока действия договорных отношений, увеличенного на сроки, установленные законодательством:

• бухгалтерские документы и связанные с ними ПДн — 5 лет (ст. 29 ФЗ-402, ст. 23 НК РФ);
• документы, связанные с исполнением страховых обязательств — по требованиям страхового законодательства;
• журналы действий с персональными данными — 3 года;
• технические журналы инфраструктуры — до 90 дней; содержат только технические идентификаторы и служат для диагностики и расследования инцидентов;
• резервные копии — до истечения цикла ротации (до 30 дней);
• кадровые документы работников Исполнителя — 50 лет для созданных после 01.01.2003 (Приказ Росархива от 20.12.2019 № 236);
• согласия субъектов на обработку — срок действия согласия и 3 года после его прекращения;
• акты об уничтожении ПДн — 3 года с даты составления (Приказ Роскомнадзора от 28.10.2022 № 179);
• уведомления и переписка с Роскомнадзором по инцидентам — 5 лет.

По истечении сроков ПДн уничтожаются или обезличиваются в порядке статьи 21 152-ФЗ и Приказа Роскомнадзора № 179 с составлением акта об уничтожении.

🔁 Передача третьим лицам

Исполнитель привлекает следующих лиц, осуществляющих обработку по его поручению:

Трансграничная передача. Обработка персональных данных осуществляется на территории Российской Федерации; передача в иностранные юрисдикции не производится. Информирование и приём обращений осуществляются через российский мессенджер MAX и личный кабинет; иностранные мессенджеры не используются.

🛡️ Меры защиты

Применяемые меры соответствуют 3-му уровню защищённости (УЗ-3) информационной системы персональных данных согласно Постановлению Правительства РФ от 01.11.2012 № 1119 и Приказу ФСТЭК России от 18.02.2013 № 21.

Организационные меры:

• назначен ответственный за организацию обработки ПДн;
• утверждена внутренняя политика обработки ПДн;
• доступ предоставляется только уполномоченным лицам по принципу минимально необходимого доступа;
• лица, имеющие доступ, ознакомлены с правилами обработки и подписали обязательства о неразглашении;
• все действия с ПДн журналируются.

Технические меры:

• шифрование канала передачи данных: протокол TLS версии 1.2 и выше с обязательным согласованием сеансового ключа по схеме ECDHE (совершенная прямая секретность) и применением исключительно шифронаборов с аутентифицированным шифрованием (AEAD) — AES-GCM, ChaCha20-Poly1305; шифронаборы на основе режима CBC и алгоритм 3DES не поддерживаются;
• шифрование резервных копий криптографическими средствами;
• многофакторная аутентификация для административных учётных записей;
• контроль доступа на уровне ролей (RBAC);
• регулярное обновление программного обеспечения и пакетов безопасности;
• резервное копирование с шифрованием на территории Российской Федерации;
• мониторинг событий безопасности, защита от вторжений и контроль целостности файловой системы;
• защита от подбора паролей: блокировка по адресу и ограничение частоты попыток входа;
• изоляция процессов средствами мандатного разграничения доступа;
• антивирусный контроль.

🎙️ Голосовые сообщения

Аудиозаписи голосовых сообщений обрабатываются исключительно для преобразования речи в текст. Голос не используется для установления личности, и в силу части 1 статьи 11 152-ФЗ такие данные биометрическими персональными данными не являются.

Исполнитель не применяет к голосовым сообщениям: голосовую аутентификацию; идентификацию по голосу; построение голосовых шаблонов и отпечатков; сопоставление с базами биометрических данных, включая Единую биометрическую систему; передачу записей в такие системы; использование записей для обучения моделей машинного обучения.

Согласие субъекта запрашивается в форме, предусмотренной статьёй 9 152-ФЗ, при первой попытке отправки голосового сообщения. До получения согласия аудиозапись не загружается. Если согласие не предоставлено — предлагается направить обращение в текстовой форме.

После завершения распознавания сохраняются текстовая транскрипция и служебный идентификатор аудиозаписи на инфраструктуре мессенджера; сами аудиозаписи удаляются.

👤 Права субъекта персональных данных

В соответствии со статьями 14, 16, 20, 21 152-ФЗ субъект вправе:

• получать информацию об обработке своих персональных данных, включая подтверждение факта, основания и цели обработки, состав данных, источники, сроки;
• получать доступ к своим персональным данным;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, получены незаконно или не нужны для заявленной цели;
• отзывать согласие на обработку, когда обработка ведётся на основании согласия;
• на защиту прав при автоматизированном принятии решений (ст. 16 152-ФЗ): решения, порождающие юридические последствия, не принимаются исключительно на основании автоматизированной обработки;
• обжаловать действия или бездействие Исполнителя в Роскомнадзор или в суд.

Гарантия по AI-функциям. Платформа не использует AI-сервисы для принятия юридически значимых решений без подтверждения уполномоченным сотрудником оператора-клиента; AI является вспомогательным инструментом.

Срок ответа на запрос — не более 10 рабочих дней с даты получения, с возможностью продления до 5 рабочих дней с мотивированным уведомлением (ст. 20 ч. 1 152-ФЗ).

🚨 Действия при инциденте безопасности

• не позднее 6 часов уведомляем затронутого оператора-клиента и передаём сведения, необходимые ему для уведомления Роскомнадзора;
• по данным, обрабатываемым по поручению оператора-клиента, уведомление Роскомнадзора направляет оператор-клиент; Исполнитель оказывает содействие;
• по данным, оператором которых является сам Исполнитель, направляем в Роскомнадзор первичное уведомление в течение 24 часов и результаты внутреннего расследования в течение 72 часов (ст. 21 ч. 3.1 152-ФЗ);
• уведомляем затронутых субъектов при наличии их контактных данных, если это не возложено на оператора-клиента.

📮 Контактные данные

Обращения субъектов персональных данных и запросы уполномоченных органов направляются на указанный адрес электронной почты. Сведения, предусмотренные частью 7 статьи 14 152-ФЗ (в том числе полное наименование и место нахождения Исполнителя), предоставляются субъекту персональных данных по его запросу в установленный законом срок.

🔄 Изменения в Политике

Исполнитель вправе вносить изменения в настоящую Политику. Обновлённая редакция публикуется в открытом доступе и вступает в силу с момента публикации, если в самой Политике не указан иной срок.

Дата последнего изменения: 12.09.2026