Политика конфиденциальности

1. Общие положения

• Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите ПД при их обработке в ИСПДн»;
• Приказом ФСТЭК России от 18.02.2013 № 21;
• Приказом Роскомнадзора от 24.02.2021 № 18;
• иными нормативными правовыми актами РФ в области защиты ПД.

2. Оператор персональных данных

3. Категории обрабатываемых персональных данных

3.1. Данные, предоставляемые Пользователем при регистрации:

• фамилия, имя, отчество (при наличии);
• адрес электронной почты;
• номер мобильного телефона;
• наименование организации, ИНН, КПП, ОГРН (для юридических лиц);
• должность и роль в системе;
• юридический и фактический адрес организации;
• банковские реквизиты (для формирования счетов).

3.2. Данные, собираемые автоматически:

• IP-адрес устройства;
• тип и версия браузера, операционной системы;
• дата и время доступа к Сервису;
• реферер (страница, с которой перешёл пользователь);
• идентификаторы cookie и данные веб-аналитики (Яндекс.Метрика);
• журнал действий Пользователя в Сервисе (аудит-лог).

3.3. Данные, вносимые в рамках использования Сервиса:

• информация об объектах недвижимости и помещениях;
• сведения об арендаторах и контрагентах (ФИО, ИНН, контакты);
• документы (договоры, акты, счета-фактуры);
• финансовые данные (суммы платежей, задолженности, пени);
• данные карт доступа СКУД (номер карты, зоны доступа);
• переписка в службе поддержки.

3.4. Специальные и биометрические категории ПД:

4. Цели обработки персональных данных

• регистрация и идентификация Пользователя в Сервисе;
• предоставление доступа к функциям Сервиса согласно выбранному тарифу;
• исполнение обязательств по договору-оферте (заключение и исполнение договоров аренды между управляющей компанией и арендаторами);
• выставление счетов, обработка платежей и возвратов через платёжные системы;
• формирование и отправка закрывающих документов;
• электронный документооборот с использованием сервиса «Контур.Диадок»;
• техническая поддержка и обработка обращений пользователей;
• обеспечение безопасности (2FA, журнал аудита, обнаружение инцидентов);
• улучшение качества Сервиса на основе обезличенной аналитики;
• направление сервисных и маркетинговых (с отдельного согласия) рассылок;
• соблюдение требований налогового, бухгалтерского и иного законодательства РФ.

5. Правовые основания обработки

• согласия субъекта ПД (п. 1 ч. 1 ст. 6 152-ФЗ) — предоставляется при регистрации и фиксируется в разделе «Настройки → 152-ФЗ»;
• исполнения договора, стороной которого является субъект ПД (п. 5 ч. 1 ст. 6 152-ФЗ) — оферта, договор подписки;
• исполнения возложенных законом обязанностей(п. 2 ч. 1 ст. 6 152-ФЗ) — налоговое, бухгалтерское, валютное законодательство;
• осуществления прав и законных интересов Оператора(п. 7 ч. 1 ст. 6 152-ФЗ) — обеспечение безопасности, защита от мошенничества.

6. Сроки хранения персональных данных

• Учётные данные и профиль — в течение всего срока использования Сервиса и 90 дней после удаления учётной записи;
• Финансовые и бухгалтерские документы — 5 лет (ст. 29 402-ФЗ «О бухгалтерском учёте»);
• Документы с электронной подписью через ЭДО — минимум 5 лет (ст. 23 НК РФ);
• Журналы доступа (аудит-лог) — 12 месяцев с момента события;
• Согласия на обработку ПД — в течение всего срока действия согласия и 3 года после его отзыва (ст. 196 ГК РФ).

7. Передача данных третьим лицам

• Платёжные системы — ООО НКО «ЮMoney» (Yookassa), АО «Тинькофф Банк» — передаются данные, необходимые для проведения транзакции (ФИО, email, сумма);
• Операторы ЭДО — АО «ПФ «СКБ Контур» (Диадок) — для подписания договоров аренды квалифицированной электронной подписью;
• 1С:Предприятие — только в пределах организации Пользователя (интеграция через API);
• Сервисы уведомлений — операторы SMS-рассылок, провайдеры email (передаётся только телефон/email и текст уведомления);
• Хостинг-провайдер — в соответствии с договором, предусматривающим режим конфиденциальности; серверы расположены на территории РФ;
• Уполномоченные органы — по обоснованному запросу в рамках исполнения требований законодательства РФ.

8. Меры по защите персональных данных

• шифрование данных при передаче по каналам связи (TLS 1.3);
• шифрование паролей с использованием алгоритма bcrypt (cost factor 12);
• мультиарендная изоляция данных (Row-Level Tenant Isolation в PostgreSQL);
• ролевая модель доступа (RBAC): super_admin, admin, manager, tenant;
• двухфакторная аутентификация (2FA) через TOTP и email;
• защита от CSRF, XSS, SQL-инъекций (валидация DTO, ORM Prisma);
• rate-limiting запросов (100 запросов в минуту на пользователя);
• антивирусная проверка загружаемых файлов (ClamAV);
• журналирование всех критичных действий (аудит-лог);
• ежесуточное резервное копирование с шифрованием бэкапов;
• разграничение доступа администраторов с обязательным 2FA;
• регулярные внутренние аудиты безопасности.

9. Права субъектов персональных данных

• получать информацию об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения ПД, если они неполны, устарели или обрабатываются с нарушением закона;
• отозвать согласие на обработку ПД в любой момент (ст. 9 152-ФЗ);
• запросить экспорт своих персональных данных в машиночитаемом формате (JSON) — доступно в разделе «Настройки → 152-ФЗ → Экспорт персональных данных»;
• запросить удаление аккаунта — доступно в разделе «Настройки → 152-ФЗ → Удаление аккаунта»;
• обжаловать действия Оператора в Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) — pd.rkn.gov.ru;
• обратиться за защитой своих прав в судебном порядке.

10. Файлы cookie и веб-аналитика

• Необходимые (Essential) — обеспечение авторизации, хранение сессии и JWT-токенов. Не требуют согласия, т.к. без них Сервис не функционирует;
• Функциональные — сохранение настроек (тема оформления, выбранный язык, состояние сворачивания меню);
• Аналитические — обезличенная статистика использования через Яндекс.Метрику (сбор данных о посещаемости, действиях пользователей, источниках трафика).

11. Персональные данные несовершеннолетних

12. Изменения Политики

13. Контактная информация