Политика обработки персональных данных сервиса RestoLens

Редакция от [ДАТА]. Черновик — перед публикацией проверьте у юриста.

1. Общие положения

1.1. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Она определяет, как [НАИМЕНОВАНИЕ ИП/ООО], ИНН [ИНН] (далее — Оператор), обрабатывает персональные данные в сервисе RestoLens по адресу https://restolens.ru.

1.2. Политика опубликована в открытом доступе по адресу [АДРЕС]/legal/privacy.

2. Чьи данные и какие обрабатываются

2.1. Пользователи Сервиса — собственники, управляющие и сотрудники заказчиков, получившие доступ. Обрабатываются:

фамилия, имя;
адрес электронной почты;
роль в Сервисе;
идентификатор чата Telegram, если пользователь подключил уведомления;
технические данные: IP-адрес, дата и время входа, cookie сессии.

2.2. Представители заказчиков при оплате — адрес электронной почты для кассового чека. Данные банковской карты вводятся на стороне ЮKassa и Оператору не передаются. Оператор хранит только сведения о сохранённом способе оплаты: тип карты и последние 4 цифры.

2.3. Работники заказчиков, чьи данные содержатся в системе iiko заказчика:

ФИО;
должность;
время явок;
личные продажи;
операции удаления и скидок.

Эти данные обрабатываются по поручению заказчика — оператора их персональных данных — на основании ч. 3 ст. 6 152-ФЗ. Условия изложены в Поручении ([АДРЕС]/legal/dpa).

3. Цели обработки

3.1. Предоставление доступа к Сервису и исполнение договора с заказчиком.

3.2. Вход и разграничение прав доступа. Направление приглашений, писем о сбросе пароля и уведомлений.

3.3. Приём оплаты и формирование кассовых чеков.

3.4. Обеспечение безопасности Сервиса.

4. Правовые основания

4.1. Исполнение договора, стороной которого является заказчик, в интересах которого действует пользователь (п. 5 ч. 1 ст. 6 152-ФЗ).

4.2. Поручение оператора — заказчика (ч. 3 ст. 6 152-ФЗ).

4.3. Согласие пользователя — для уведомлений в Telegram.

4.4. Исполнение требований закона — 54-ФЗ о кассовых чеках.

5. Порядок и условия обработки

5.1. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.2. Базы данных, в которых хранятся персональные данные граждан РФ, находятся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Хостинг: [НАЗВАНИЕ ПРОВАЙДЕРА, ГОРОД].

5.3. Оператор передаёт данные следующим лицам:

ООО НКО «ЮMoney» (ЮKassa) — для приёма оплаты;
[ПОЧТОВЫЙ СЕРВИС] — для отправки писем.

5.4. Трансграничная передача. Уведомления в Telegram доставляются через серверы Telegram Messenger Inc., которые могут находиться за пределами РФ. Уведомления отправляются только пользователям, которые сами подключили Telegram. Уведомления могут содержать название ресторана, показатели и имена работников. [Юристу: оценить необходимость уведомления Роскомнадзора о трансграничной передаче (ст. 12 152-ФЗ) и отдельного согласия; как вариант — отправлять в Telegram показатели без ФИО работников.]

5.5. Сроки хранения:

данные пользователей — в течение действия договора с заказчиком и [90] дней после его прекращения;
данные об оплатах — в сроки, установленные законом;
данные работников заказчиков — по Поручению.

6. Защита данных

6.1. Оператор принимает меры по ст. 18.1 и 19 152-ФЗ:

доступ к данным по ролям;
пароли пользователей хранятся только в виде криптографического хеша;
учётные данные iiko хранятся зашифрованными;
передача данных — только по защищённому протоколу HTTPS;
защита от подбора паролей;
резервное копирование;
назначен ответственный за организацию обработки персональных данных.

7. Права субъектов персональных данных

7.1. Субъект вправе:

получить сведения об обработке своих данных;
потребовать уточнения, блокирования или уничтожения данных;
отозвать согласие;
обжаловать действия Оператора в Роскомнадзоре или суде.

7.2. Запросы направляются на [E-MAIL]. Срок ответа — 10 рабочих дней (ст. 14 152-ФЗ).

7.3. Работники заказчиков направляют запросы своему работодателю — оператору их данных. Оператор Сервиса содействует заказчику в их исполнении.

8. Cookie

8.1. Сервис использует одну техническую cookie для поддержания входа. Без неё работа Сервиса невозможна. Рекламные и аналитические cookie не используются.

9. Контакты

Ответственный за организацию обработки персональных данных: [ФИО], [E-MAIL], [ТЕЛЕФОН].

[НАИМЕНОВАНИЕ], ИНН [ИНН], адрес: [АДРЕС].