Политика конфиденциальности

Документ опубликован не полностью. В тексте остались незаполненные поля: {{ОГРНИП}}, {{ИНН}}, {{АДРЕС}}, {{ДАТА}}. Реквизиты оператора задаются в конфигурации сервера и подставляются автоматически.

Оператор: Индивидуальный предприниматель Беляев Иван Васильевич
Сервис: DefAct
Версия: 1.0
Дата вступления в силу: {{ДАТА}}
Дата последнего изменения: {{ДАТА}}
Постоянный адрес: /legal/privacy

1. О документе

Настоящая Политика конфиденциальности объясняет, какие сведения обрабатываются при использовании DefAct, для чего они нужны, кому могут передаваться, как защищаются и как пользователь может обратиться по вопросам своих данных.

Политика дополняет Политику обработки персональных данных и не заменяет её.

2. Кто обрабатывает данные

Оператором персональных данных пользователей, которые непосредственно взаимодействуют с DefAct как пользователи Сервиса, является Индивидуальный предприниматель Беляев Иван Васильевич.

В отношении персональных данных, которые компания-клиент самостоятельно вносит в DefAct и для которых она определяет цели обработки, оператором является соответствующая компания-клиент. DefAct в отношении таких данных действует как обработчик по поручению клиента в соответствии с DPA.

Это различие важно: DefAct не определяет самостоятельно цели использования данных заказчиков, сотрудников, ответственных лиц и подписантов, внесённых компанией-клиентом.

3. Какие сведения могут обрабатываться

3.1. Данные пользователя DefAct

В зависимости от функциональности могут обрабатываться:

адрес электронной почты;
пароль в виде хеша bcrypt;
роль пользователя в компании;
идентификаторы устройства;
сведения о действиях, необходимые для работы и безопасности Сервиса;
технические сведения, необходимые для функционирования Сервиса.

3.2. Данные, которые компания вносит о других лицах

Компания может самостоятельно вносить:

сведения о заказчике: наименование, ИНН, адрес, телефон, электронную почту, контактное лицо и его должность;
ФИО, должность, телефон и электронную почту сотрудников и ответственных лиц;
ФИО, должность, телефон и электронную почту ответственных лиц и исполнителей в документах;
телефоны заказчика и владельца техники;
ФИО, должность и изображение подписи подписанта;
фотографии объектов и дефектов, которые могут содержать изображения людей, территории, транспортных средств и регистрационных номеров.

Компания отвечает за наличие правового основания для обработки и передачи этих данных.

4. Зачем нужны данные

Данные используются для регистрации и входа, предоставления доступа к функциям, управления ролями и правами, восстановления доступа, отправки служебных уведомлений, создания и хранения документов, синхронизации, передачи документов, работы корпоративных кабинетов, обеспечения безопасности, журналирования действий, технической поддержки и диагностики, исполнения договоров, соблюдения требований закона и защиты прав и законных интересов.

Мы не используем данные для рекламного профилирования и не продаём персональные данные.

5. Офлайн-режим

Мобильное приложение DefAct может работать без Интернета. Документы и фотографии могут храниться непосредственно на телефоне.

Телефон и компьютер могут обмениваться данными напрямую по локальной сети или кабелю, без Интернета и без участия сервера DefAct.

Поэтому данные, которые находятся только на устройстве и ещё не переданы на сервер, Оператор автоматически не видит.

Удаление приложения удаляет локальные данные приложения в пределах возможностей соответствующей операционной системы.

6. Доступ приложения к устройству

Камера используется для фотографирования объектов и дефектов. Галерея — для выбора и сохранения фотографий. Контакты — для подстановки номера заказчика в заказ-наряд.

Доступ запрашивается в момент использования функции. Если доступ к контактам не предоставлен, номер можно ввести вручную.

7. Cookies

На веб-портале используются только два строго необходимые cookie:

Cookie	Назначение	Свойства
`panel_session`	сессия кабинета компании / админпанели	`HttpOnly`, `SameSite=Strict`, `Secure` по HTTPS
`account_session`	сессия учётной записи	`HttpOnly`, `SameSite=Strict`, `Secure` по HTTPS

Аналитических, рекламных и сторонних отслеживающих cookie нет. Метрики, пиксели и рекламные сети на портале не используются.

Подробнее: Политика использования cookies.

8. Кому передаются данные

Для доставки служебных писем DefAct использует Yandex SMTP (smtp.yandex.ru). Для доставки могут передаваться адрес получателя и текст письма. Использование необходимо для подтверждений, приглашений, сброса пароля и уведомлений о согласовании.

По ТЗ других передач данных третьим лицам сейчас нет.

9. Где хранятся данные и как защищаются

Сервис размещён на собственном сервере, а не в облачном хостинге. Размещение — на территории Российской Федерации.

Передача по сети защищается HTTPS; используется Caddy и сертификаты Let's Encrypt. Пароли хранятся в виде хеша bcrypt, а не в открытом виде.

Доступ разграничивается по ролям. Каждая компания видит только свои данные. Действия с документами журналируются.

Для резервного копирования используются локальные и внешние зашифрованные копии; восстановление проверяется по установленному расписанию.

10. Сколько хранятся данные

Данные компании хранятся, пока действует соответствующая учётная запись или иное законное/договорное основание.

Документы, фотографии и подписи хранятся до их удаления пользователем или компанией в пределах установленного порядка.

Удаление документов является мягким: документ помечается удалённым, чтобы изменение могло быть синхронизировано с устройствами, после чего данные очищаются по регламенту.

Резервные копии включают 5 последних суточных локальных копий, а также 7 суточных, 5 недельных и 12 месячных внешних зашифрованных копий. Полное удаление отдельных данных из всех резервных копий может занимать до 12 месяцев.

11. Как удалить данные

Для удаления данных пользователь может обратиться к Оператору по адресу info@defact.pro.

В зависимости от того, кому принадлежат данные и кто определяет цели их обработки, запрос рассматривается Оператором либо соответствующей компанией-клиентом как оператором данных.

Удаление из рабочей системы не означает мгновенного удаления из резервных копий.

12. Что мы не делаем

DefAct:

не продаёт персональные данные;
не использует рекламные сети;
не использует рекламные пиксели;
не использует аналитические cookie;
не использует Google Analytics или Яндекс Метрику;
не формирует рекламные профили пользователей;
не передаёт данные в CRM-интеграции, которых нет в Сервисе.

13. Права пользователя

Пользователь имеет права, предусмотренные законодательством РФ, включая право получить сведения об обработке своих персональных данных, потребовать их уточнения, блокирования или уничтожения в предусмотренных законом случаях, отозвать согласие и обратиться в уполномоченный орган.

Порядок реализации прав подробно описан в Политике обработки персональных данных.

14. Безопасность

Мы применяем фактически используемые меры безопасности: HTTPS, HSTS, bcrypt для паролей, ролевое разграничение доступа, разделение данных компаний, журналирование действий, защищённые сессии HttpOnly/SameSite=Strict, CSRF-защиту и резервное копирование с проверкой восстановления.

Мы не заявляем в настоящей Политике меры, которых фактически нет в системе.

15. Изменения Политики

При изменении способов обработки данных или архитектуры DefAct Политика может обновляться. Актуальная версия публикуется по адресу /legal/privacy. В документе указываются версия, дата вступления в силу и история изменений.

16. Контакты

Индивидуальный предприниматель Беляев Иван Васильевич
ОГРНИП: {{ОГРНИП}}
ИНН: {{ИНН}}
Адрес: {{АДРЕС}}
E-mail: info@defact.pro
defact.pro
дефакт.рф

История изменений

Версия	Дата	Изменения
1.0	{{ДАТА}}	Первичная редакция

Все документы