Политика обработки персональных данных

1. Оператор и область действия

Оператором персональных данных является организация, которая эксплуатирует конкретную установку ИЗИАР и определяет цели обработки. Её реквизиты и контакты устанавливаются договором и внутренними документами компании. Политика применяется к регистрации, работе корпоративной учётной записи, уведомлениям и поддержке доступа.

2. Какие данные обрабатываются

• фамилия, имя, отчество, рабочая электронная почта, телефон и должность;
• связь пользователя с юридическим лицом или ИП, роль и права;
• заявки, приглашения, решения администраторов и версии согласий;
• сведения о входах, сессиях, изменениях доступа и событиях безопасности;
• технические данные запроса, необходимые для защиты и диагностики.

Пароли хранятся только в виде стойких криптографических хешей. Одноразовые токены хранятся в проверяемом хешированном виде и имеют ограниченный срок действия.

3. Цели обработки

• проверка принадлежности пользователя к компании;
• создание и защита учётной записи;
• управление ролями, правами на модули и составом участников;
• отправка обязательных транзакционных и защитных уведомлений;
• расследование инцидентов, аудит действий и предотвращение злоупотреблений;
• исполнение договора и законных обязанностей оператора.

4. Основания и способы обработки

Данные обрабатываются на основании согласия пользователя, исполнения договора и обязанностей оператора, а также законного интереса в защите сервиса. Обработка включает получение, проверку, хранение, уточнение, использование, предоставление уполномоченным лицам, блокирование, обезличивание и удаление с применением автоматизированных средств.

5. Кому доступны данные

Данные доступны пользователю, уполномоченным владельцу и администраторам его компании, системным администраторам в пределах проверки и поддержки, а также привлечённым обработчикам по договору. Данные не раскрываются другим компаниям. Передача государственным органам выполняется только при наличии законного основания.

6. Срок хранения

Заявки и профиль хранятся пока это необходимо для рассмотрения, предоставления доступа, исполнения договора и разрешения споров. Одноразовые ссылки прекращают действовать по истечении установленного срока или после первого использования. Закрытие учётной записи не означает немедленного удаления обязательного журнала безопасности; после окончания применимого срока данные удаляются или обезличиваются.

7. Защита данных

Применяются разграничение прав, привязка сессии к единственной компании, журналирование, криптографическая защита секретов, ограниченные одноразовые ссылки и проверка критических действий. Доступ сотрудников и поддержки предоставляется по минимально необходимому объёму и контролируется аудитом.

8. Права пользователя

Пользователь вправе получить сведения об обработке, потребовать уточнения неточных данных, ограничения или прекращения обработки, отозвать согласие и обжаловать действия оператора. Отзыв согласия не отменяет законность предшествующей обработки и может сделать дальнейшее использование корпоративной учётной записи невозможным.

9. Технические журналы и файлы браузера

Сервис использует защищённые сессионные cookie и технические журналы, необходимые для входа, CSRF-защиты, диагностики и предотвращения атак. Одноразовые токены и адреса страниц, способные их содержать, не должны сохраняться в открытом виде в прикладных журналах.

10. Обращения и обновления

Обращение направляется владельцу компании или оператору установки по контактам из договора и внутренних документов. При изменении целей или состава обработки публикуется новая версия политики; если требуется, сервис запросит новое согласие. Условия использования доступнына отдельной странице.