Политика обработки персональных данных

Настоящая Политика определяет порядок обработки и меры по обеспечению безопасности персональных данных пользователей сервиса «Портфель проектов», размещённого по адресу https://projectportfolio.ru (далее — Сервис), и составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».

Оператор персональных данных — владелец Сервиса «Портфель проектов» (далее — Оператор).

Политика является общедоступной и постоянно размещена по адресу https://projectportfolio.ru/privacy.

Оператор обрабатывает персональные данные пользователей Сервиса:

• фамилия и имя;
• адрес электронной почты;
• должность и команда, указанные в профиле;
• фотография профиля — если пользователь её загрузил;
• пароль — только в виде необратимого хэша, исходный пароль не хранится;
• сведения об участии в проектах: назначенные задачи, роли, ответственность за пункты протоколов встреч, вопросы и комментарии;
• технические данные: IP-адрес, сведения о браузере, дата и время входа и дачи согласия.

Учётную запись сотрудника заранее создаёт администратор Сервиса: он указывает фамилию, имя и адрес электронной почты и приглашает сотрудника. Свободная регистрация в Сервисе не предусмотрена.

Пользователи могут указывать в проектах (в протоколах встреч, задачах, справочниках команды) имена и контакты других лиц. Такой пользователь обязан иметь законное основание для передачи этих данных в Сервис. Если пользователь делится итогами встреч по ссылке, Оператор обрабатывает адрес электронной почты получателя, указанный пользователем, — для отправки ссылки.

Оператор не обрабатывает специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические персональные данные.

• регистрация пользователя, вход в Сервис и восстановление доступа;
• предоставление функций Сервиса: ведение проектов, задач, встреч, команд и совместная работа в рамках компании;
• отправка служебных писем: восстановление пароля, ссылки на итоги встреч;
• обеспечение безопасности: защита от подбора паролей, восстановление данных после сбоев.

Правовое основание — согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 152-ФЗ), которое даётся при регистрации отдельным действием. Текст согласия размещён по адресу https://projectportfolio.ru/consent.

Обработка ведётся с использованием средств автоматизации и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение.

Данные пользователя видны другим пользователям той компании (рабочего пространства), в которую он добавлен, в объёме, необходимом для совместной работы. Данные не продаются, не используются для рекламы и не передаются третьим лицам, кроме случаев, указанных в разделе 5, и случаев, предусмотренных законом.

Базы данных с персональными данными граждан Российской Федерации находятся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ) — на серверах хостинг-провайдера Selectel. Трансграничная передача персональных данных не осуществляется.

Для отправки служебных писем Оператор поручает обработку адреса электронной почты и текста письма сервису транзакционных рассылок Unisender Go. Обработчик обязан соблюдать конфиденциальность и требования 152-ФЗ.

Данные хранятся, пока существует учётная запись пользователя. При отзыве согласия или по требованию пользователя данные уничтожаются в течение 30 дней (ч. 5 ст. 21 152-ФЗ), если закон не требует иного. Резервные копии базы данных обновляются по мере работы Сервиса (хранятся 14 последних копий) и уничтожаются при ротации.

Сервис использует одну служебную cookie — зашифрованный идентификатор сеанса, без которого невозможен вход. Срок её действия — 7 дней с последнего посещения. В локальном хранилище браузера сохраняются только настройки интерфейса (видимые столбцы, свёрнутые блоки). Сервис не использует сторонние счётчики, аналитику и рекламные cookie.

• передача данных между браузером и сервером — только по защищённому протоколу HTTPS;
• пароли хранятся в виде хэша bcrypt, ссылки для сброса пароля и общего доступа — в виде хэша;
• доступ к данным проекта ограничен правами внутри компании;
• ограничение числа попыток входа и регистрации;
• регулярное резервное копирование.

Пользователь вправе:

• получить сведения об обработке своих персональных данных (ч. 7 ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные или обрабатываются незаконно;
• отозвать согласие на обработку персональных данных;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

Имя, фамилию, должность и фото пользователь может изменить сам в профиле. Остальные запросы, в том числе отзыв согласия и удаление учётной записи, направляются администратору своей компании в Сервисе, который передаёт обращение Оператору. Оператор отвечает в течение 10 рабочих дней (срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах).

Оператор может изменять Политику. Новая редакция вступает в силу с момента публикации на этой странице. При существенных изменениях пользователю будет предложено ознакомиться с новой редакцией и подтвердить согласие при следующем входе.