Политика обработки персональных данных OGDesk
1. Кто обрабатывает данные
Оператор персональных данных — Кашников Дмитрий Дмитриевич, плательщик налога на профессиональный доход (самозанятый), ИНН 111501550197, г. Москва. Email для обращений, в том числе по персональным данным: info@ogdesk.ru.
Политика действует для сайта ogdesk.ru, веб-клиента на этом сайте и программы OGDesk Agent (далее вместе — «OGDesk»). Обработка ведётся в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
2. Какие данные мы обрабатываем и зачем
2.1. Аккаунт: адрес электронной почты, пароль (хранится только в виде криптографического хеша), дата регистрации. Цель — регистрация, вход и предоставление OGDesk по пользовательским условиям. Основание — исполнение договора с вами (п. 5 ч. 1 ст. 6 152-ФЗ).
2.2. Двухфакторная защита, если вы её включили: секрет для одноразовых кодов и резервные коды (резервные коды хранятся только в виде хешей). Цель — защита входа в аккаунт. Основание — исполнение договора.
2.3. Восстановление пароля: на ваш email отправляется одноразовая ссылка с ограниченным сроком действия; на сервере хранится только её хеш до использования или истечения срока. Основание — исполнение договора.
2.4. Устройства: идентификатор устройства (9 цифр), название компьютера, служебный токен устройства (хранится в виде хеша). Цель — привязка компьютера к аккаунту и подключение к нему. Основание — исполнение договора.
2.5. История подключений и избранное: идентификатор устройства, к которому вы подключались, время подключения, выбранные вами названия. Хранится не более 100 записей истории и 50 записей избранного. Цель — функции раздела «Мои устройства». Основание — исполнение договора.
2.6. Технические данные соединения: IP-адрес и сведения, необходимые для установления соединения между устройствами. Используются только в оперативной памяти сервера для установления соединения и защиты от перебора паролей; в журналы посещений не записываются. Основание — исполнение договора и обеспечение безопасности сервиса.
2.7. Журнал безопасности: тип события (например, вход, смена пароля, отзыв устройства), время и аккаунт — без IP-адресов и содержимого сеансов. Цель — защита аккаунтов и расследование нарушений. Основание — исполнение договора и законный интерес оператора в обеспечении безопасности (п. 7 ч. 1 ст. 6 152-ФЗ).
2.8. Обращения: текст обращения, его статус и ответ. Цель — рассмотрение обращений, в том числе по персональным данным. Основание — исполнение обязанностей оператора по 152-ФЗ.
2.9. Принятие документов и согласия: какой документ и в какой редакции принят, время, действие (принятие или отзыв). Цель — подтверждение того, что вы ознакомились с условиями или дали (отозвали) согласие. Основание — исполнение обязанностей оператора.
2.10. Оплата платных тарифов: номер заказа, тариф, сумма, статус платежа, идентификаторы платежа и сохранённого способа оплаты в платёжном сервисе ЮKassa, email для чека. Номер банковской карты и CVV в OGDesk не передаются и не хранятся — их обрабатывает ЮKassa. Цель — оплата, выдача чеков и учёт доходов. Основание — исполнение договора и требования налогового законодательства.
2.11. Содержимое сеансов: изображение экрана, нажатия клавиш и движения мыши, буфер обмена, передаваемые файлы и сообщения чата. Эти данные передаются только участникам сеанса, который разрешил владелец компьютера. Когда возможно, устройства соединяются напрямую; иначе данные передаются через сервер OGDesk в реальном времени. Сервер не сохраняет содержимое сеансов, сообщения чата существуют только в памяти на время сеанса. Соединение с сервером защищено протоколом HTTPS; при передаче через сервер содержимое технически проходит через его оперативную память, поэтому сквозным шифрованием между участниками такая передача не является.
2.12. Данные, которые остаются на вашем компьютере и оператору не передаются: сохранённый пароль (если вы выбрали «Запомнить пароль», хранится в защищённом хранилище Windows), журнал событий агента (до 500 записей), журнал ошибок агента (до 1,5 МБ; адреса почты, пароли и коды в нём скрываются), временные файлы для передачи через буфер обмена, а также запись сеанса, если вы сами её включили.
Специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические данные оператор не собирает.
3. Данные на удалённом компьютере
Оператор не просматривает, не анализирует и не хранит то, что показывается или передаётся во время сеанса. Решение о подключении и о том, к каким данным получить доступ, принимают пользователи. Пользователь, который подключается к компьютеру, должен иметь право на такой доступ и, если на компьютере есть данные других людей (например, работников или клиентов), самостоятельно обеспечить законность работы с ними и информирование этих людей.
4. Где хранятся данные и кому передаются
Данные аккаунтов хранятся на сервере в дата-центре в г. Москве (хостинг-провайдер VDSina). Оператор не осуществляет трансграничную передачу персональных данных. Если пользователь сам подключается к устройству, находящемуся в другой стране, или подключается из другой страны, содержимое сеанса передаётся между участниками по их инициативе.
Данные передаются только тем, кто помогает предоставлять OGDesk, и в необходимом объёме: — хостинг-провайдер VDSina — размещение серверов; — почтовый сервис домена ogdesk.ru — доставка писем (восстановление пароля, ответы на обращения); — ЮKassa — приём платежей; чеки формируются через приложение ФНС России «Мой налог».
Оператор не продаёт персональные данные и не передаёт их для рекламы. Данные могут быть предоставлены государственным органам только в случаях, прямо предусмотренных законом.
5. Сроки хранения
— аккаунт, устройства, избранное — пока действует аккаунт; — история подключений — 90 дней; — сессия входа в браузере — до 7 дней или до выхода; — журнал безопасности — 90 дней; — закрытые обращения — 365 дней после закрытия; — записи о принятии документов и согласиях — пока действует аккаунт или согласие и 3 года после их прекращения; — сведения о платежах — 5 лет после окончания года платежа (требования налогового учёта).
После удаления аккаунта данные удаляются в течение 30 дней, кроме сведений, которые оператор обязан хранить по закону; они хранятся только в указанные выше сроки и только для этой цели. Резервные копии, если они делаются, обновляются так, чтобы удалённые данные исчезли из них не позднее чем через 30 дней.
6. Ваши права
Вы можете: получить сведения об обработке ваших данных и их копию; потребовать исправить неточные данные; потребовать прекратить обработку или удалить данные, если для неё нет законных оснований; отозвать согласие, если обработка основана на согласии; обжаловать действия оператора в Роскомнадзоре или в суде.
Большинство действий доступно после входа в раздел «Конфиденциальность» (ogdesk.ru/privacy): экспорт данных, обращения, отзыв согласий. Если войти нельзя, напишите на info@ogdesk.ru с адреса, указанного в аккаунте. Для подтверждения личности оператор запрашивает только необходимое (например, подтверждение владения адресом почты) и не просит паспортных данных без необходимости.
Ответ на обращение даётся в течение 10 рабочих дней с момента получения. Срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах.
Отзыв согласия не прекращает обработку, которая ведётся на другом законном основании (например, для исполнения договора), и не означает автоматического удаления аккаунта.
7. Защита данных
Оператор применяет правовые, организационные и технические меры: пароли хранятся только в виде хешей, доступ к серверу ограничен, соединения с сервером идут по HTTPS, секреты устройств и сессий хранятся в виде хешей, ведётся журнал событий безопасности. При утечке персональных данных оператор уведомляет Роскомнадзор в сроки, установленные ст. 21 152-ФЗ, и сообщает пользователям, если инцидент может затронуть их права.
8. Возраст
OGDesk предназначен для лиц старше 18 лет. Если оператору станет известно, что аккаунт создал человек младше 18 лет, аккаунт будет удалён.
9. Изменения политики
Новая редакция публикуется на сайте с номером версии и датой вступления в силу. О существенных изменениях оператор сообщает в личном кабинете не позднее чем за 10 дней до вступления их в силу.