Политика обработки персональных данных

1. Общие положения 1.1. Настоящая Политика определяет порядок обработки и меры защиты персональных данных ООО «Лугару» (ИНН 5405469569, ОГРН 1135476024760, адрес: 630007, г. Новосибирск, ул. Октябрьская, 42, офис 505; далее — Оператор) при работе личного кабинета на сайте lk-lugaru.ru (далее — Сайт). Политика издана в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон). 1.2. Ответственный за организацию обработки персональных данных: Руководитель отдела реализации. Адрес для обращений: info@lugaru.ru, почтовый адрес: 630007, г. Новосибирск, ул. Октябрьская, 42, офис 505. 1.3. Политика опубликована по адресу lk-lugaru.ru/docs/privacy. Действующая редакция и дата её публикации указаны на той же странице. Прежние редакции Оператор хранит. 2. Цели, данные, основания и сроки 2.1. Регистрация и ведение учётной записи. Субъекты: пользователи Сайта. Данные: адрес электронной почты, хеш пароля, дата регистрации и подтверждения адреса. Основание: согласие. Срок: до удаления учётной записи или отзыва согласия. Данные незавершённой регистрации (адрес не подтверждён) удаляются после истечения срока действия кода подтверждения. 2.2. Доступ пользователя к сведениям о нём. После подтверждения адреса электронной почты учётная запись связывается со сведениями, которые уже содержатся в CRM-системе Оператора по этому адресу, и пользователь видит их в личном кабинете. До подтверждения адреса связывание не происходит. Данные: фамилия, имя, отчество, телефон, должность, место работы, город, профессиональное направление, сведения о заявках и участии в мероприятиях. Источники: сам субъект, организация-работодатель, переписка с Оператором. Основание: согласие. Срок: пока действует учётная запись. 2.3. Приём и исполнение заявок на организацию мероприятий. Субъекты: представители организаций-заказчиков. Данные: фамилия, имя, отчество, контактные данные, должность, организация, регион, содержание заявки. Основание: договор с организацией-заказчиком и (или) согласие. Срок: срок действия договора и 5 лет после его прекращения или до подачи отказа на хранения персональных данных на адрес электронной почты info@lugaru.ru. 2.4. Организация участия в научно-практических конференциях. Субъекты: участники и лекторы. Данные: фамилия, имя, отчество, контактные данные, место работы, специальность, город, сведения об участии. Основание: согласие. Срок: до проведения конференции и сдачи отчётности по ней и 5 лет после. 2.5. Публикация сведений о конференциях. На Сайте без входа доступны сведения о конференциях: название, даты, место, направление, а также фамилия, имя и отчество лектора и организатора. Сведения о лицах размещаются только на основании их согласия на распространение (ст. 10.1 Закона) и в пределах, которые они установили. Контактные данные на Сайте не публикуются. 2.6. Рассылка анонсов конференций. Только с отдельного согласия, которое не является условием регистрации. Данные: адрес электронной почты. Срок: до отказа от рассылки. 2.7. Безопасность Сайта. Данные: IP-адрес, адрес электронной почты при попытках входа и регистрации, дата и время, сведения о браузере. Основание: законный интерес Оператора (п. 7 ч. 1 ст. 6 Закона). Срок: счётчики попыток — до 60 суток; журналы сервера — 5 лет. 2.8. Подтверждение полученных согласий (ч. 3 ст. 9 Закона). Данные: дата и время согласия, IP-адрес, редакция документа. Срок: весь срок обработки и 5 лет после её прекращения. 3. Кто имеет доступ к данным 3.1. Уполномоченные работники Оператора — в объёме их обязанностей. 3.2. Руководители и согласующие организации-заказчика видят в личном кабинете заявки работников этой организации в пределах своей зоны ответственности: та же организация, города и профессиональные направления, закреплённые за ними. Заявки других организаций им недоступны. 3.3. Лица, обрабатывающие данные по поручению Оператора (ч. 3 ст. 6 Закона): Timeweb Cloud, https://timeweb.cloud/ — размещение Сайта и журналов сервера; Yandex Cloud, https://yandex.cloud/ — хранение базы данных; Битрикс24, https://www.bitrix24.ru/ — CRM-система; Yandex Cloud, https://yandex.cloud/ — защита от автоматических регистраций; Timeweb Cloud, https://timeweb.cloud/ — отправка писем. 3.4. Трансграничная передача не осуществляется. Запись, систематизация, накопление, хранение, уточнение и извлечение данных граждан РФ происходят в базах данных на территории РФ (ч. 5 ст. 18 Закона). 4. Сайт: cookie, хранилище браузера, капча 4.1. Сайт использует только технически необходимые файлы cookie: сеанс входа в личный кабинет (authjs.session-token, до 7 дней), защита формы входа (authjs.csrf-token, до закрытия браузера), адрес возврата после входа (authjs.callback-url, до закрытия браузера), завершение регистрации (lugaru_registration, до 30 минут, только на страницах регистрации). Без них вход и регистрация невозможны. 4.2. В хранилище браузера (sessionStorage) Сайт записывает настройки отображения списков (фильтры, выбранная вкладка). Они не передаются Оператору и удаляются при закрытии вкладки. 4.3. Сайт не использует системы веб-аналитики, рекламные и иные счётчики. 4.4. На странице регистрации для защиты от автоматических регистраций используется сервис Yandex SmartCaptcha. При этом сервису передаются IP-адрес посетителя, сведения о браузере и устройстве и о действиях на странице. Обработка данных сервисом происходит на условиях https://yandex.ru/legal/smartcaptcha_notice/ru/. 5. Меры защиты 5.1. Доступ к данным в личном кабинете ограничен ролями; каждый пользователь видит только то, что ему положено по разделу 3. 5.2. Пароли хранятся только в виде необратимых хешей. Коды подтверждения действуют 15 минут и тоже не хранятся в открытом виде. 5.3. Сведения из CRM становятся доступны в личном кабинете только после подтверждения владения адресом электронной почты. 5.4. Число попыток входа, регистрации и ввода кода ограничено. 5.5. Соединения с Сайтом и с базой данных защищены шифрованием (TLS). 5.6. Организационные меры: назначение ответственного, ознакомление работников, определение уровня защищённости. 6. Права субъекта персональных данных 6.1. Субъект вправе получить сведения об обработке своих данных (ст. 14 Закона), требовать их уточнения, блокирования или уничтожения, если они неполные, устаревшие, неточные или обрабатываются незаконно, отозвать согласие, обжаловать действия Оператора в Роскомнадзоре или в суде. 6.2. Запрос направляется на info@lugaru.ru или по почтовому адресу Оператора и должен содержать сведения, перечисленные в ч. 3 ст. 14 Закона. Запрос с адреса электронной почты, который подтверждён в личном кабинете, принимается как подтверждающий связь с Оператором. 6.3. Оператор отвечает в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением (ст. 20 Закона). 7. Прекращение обработки и уничтожение 7.1. При достижении цели обработки или отзыве согласия Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней, если иное не предусмотрено федеральным законом или договором (ч. 4 и 5 ст. 21 Закона). Уничтожение подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179. 7.2. При выявлении неправомерной или случайной передачи данных Оператор уведомляет Роскомнадзор в течение 24 часов и о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона). 8. Изменение Политики Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на Сайте. Данные ранее согласия остаются в силе в той редакции, в которой они были даны.