Asmens duomenys ir verslas: ką svarbu žinoti FoodSoul klientams

Skaitmeninių paslaugų ir programinės įrangos naudojimas neišvengiamai susijęs su asmens duomenų tvarkymu. Dirbant su FoodSoul programine įranga, daugelis klientų ir partnerių net nesusimąsto, kad pagal įstatymą jie jau atlieka asmens duomenų operatoriaus vaidmenį ir turi tam tikras pareigas.

Šiame straipsnyje aptarsime:

• kas yra asmens duomenų operatorius;
• kokios pareigos atsiranda FoodSoul klientams;
• kokie duomenys tvarkomi naudojant FoodSoul programinę įrangą;
• kas yra Roskomnadzor ir kokias funkcijas jis atlieka;
• ar reikia pranešti Roskomnadzor ir kaip tai padaryti;
• kaip tinkamai gauti vartotojo sutikimą, jei naudojate išorinę duomenų rinkimo formą savo svetainėje;
• kaip dirbti su slapukais, analitika ir vartotojų užklausomis.

Kas yra asmens duomenų operatorius

Asmens duomenų operatorius — tai bet kuris fizinis ar juridinis asmuo, kuris:

• renka asmens duomenis;
• laiko, naudoja, perduoda ar ištrina juos;
• savarankiškai nustato tikslus ir tvarkymo būdus.

Paprastai tariant, jei jūs nusprendžiate, kodėl ir kam jums reikia vartotojo duomenų, jūs esate operatorius.

FoodSoul klientai tampa asmens duomenų operatoriais, jei jie:

• registruoja vartotojus ar darbuotojus;
• dirba su klientų bazėmis;
• priima užsakymus, paraiškas, kreipimusis;
• naudoja asmenines paskyras ir kitas FoodSoul programinės įrangos funkcijas.

Tuo pačiu nesvarbu, kur tiksliai techniškai saugomi duomenys: operatoriaus atsakomybė išlieka.

Kokios pareigos atsiranda FoodSoul klientams

Kaip asmens duomenų operatorius, FoodSoul klientas turi šias pagrindines pareigas:

• tvarkyti asmens duomenis teisėtai ir konkrečiais tikslais;
• gauti vartotojo sutikimą duomenų tvarkymui (jei to reikia);
• informuoti vartotoją apie tai, kokie duomenys ir kodėl tvarkomi;
• užtikrinti duomenų konfidencialumą ir saugumą;
• reaguoti į vartotojų užklausas (duomenų keitimas, ištrynimas);
• laikytis Rusijos Federacijos asmens duomenų įstatymų reikalavimų.

IT platformos buvimas neatleidžia verslo nuo šių pareigų. FoodSoul užtikrina techninę dalį, o teisinė atsakomybė už teisėtą tvarkymą lieka FoodSoul partneriui.

Kokie duomenys tvarkomi FoodSoul programinės įrangos rėmuose

1. Vartotojo pateikti duomenys

Tai informacija, kurią vartotojas nurodo savarankiškai. Ji apima:

• Registruojantis ar kuriant paskyrą: vardas, lytis, gimimo data, kontaktinis telefonas, el. pašto adresas, nuotrauka;
• Užsakant ir vykdant užsakymą: vardas, el. paštas, mokėjimo kortelių duomenys, kita mokėjimo informacija, pristatymo adresas, kontaktinis telefonas;
• Grįžtamojo ryšio, pretenzijų, dalyvavimo akcijose ir lojalumo programose atvejais: pavardė, vardas, tėvavardis, kontaktiniai duomenys, tekstinė informacija ir medijos turinys;
• Kreipiantis į pagalbos tarnybą: paskyros duomenys, įrenginio ir programinės įrangos techniniai parametrai.

2. Automatiškai perduodami duomenys

Naudojant FoodSoul programinę įrangą automatiškai gali būti tvarkomi:

• Techniniai duomenys: IP adresas, HTTP antraštės, slapukų duomenys, žiniatinklio švyturiai/pikselių žymės, naršyklės ir operacinės sistemos informacija, mobiliojo įrenginio identifikatorius, informacija apie aparatinę ir programinę įrangą;
• Naudojimo duomenys: prieigos prie Svetainių ir/ar Paslaugų data ir laikas, užsakymų ir veiksmų istorija;
• Geolokacijos duomenys (jei taikoma ir su vartotojo sutikimu).

FoodSoul tvarko tik tą informaciją, kuri būtina programinės įrangos veikimui ir paslaugų gerinimui.

Kas yra Roskomnadzor ir kokias funkcijas jis atlieka

Roskomnadzor — tai valstybinė institucija, vykdanti asmens duomenų įstatymų laikymosi kontrolę.

Jis:

• veda asmens duomenų operatorių registrą;
• kontroliuoja įstatymo reikalavimų laikymąsi;
• nagrinėja vartotojų skundus;
• vykdo planinius ir neplaninius patikrinimus;
• išduoda nurodymus dėl pažeidimų pašalinimo;
• traukia operatorius administracinėn atsakomybėn.

Paprastai tariant, Roskomnadzor stebi, kad verslas tinkamai ir teisėtai dirbtų su asmens duomenimis.

Ar reikia pranešti Roskomnadzor

Daugeliu atvejų FoodSoul klientai privalo pranešti Roskomnadzor apie asmens duomenų tvarkymo pradžią. Pranešimas pateikiamas prieš pradedant tvarkymą arba, jei tvarkymas jau vykdomas, — kuo greičiau.

Žemiau pateikiamas praktinis žingsnis po žingsnio vadovas, kaip užpildyti elektroninę formą svetainėje pd.rkn.gov.ru, su pavyzdžiais, pagrįstais jūsų Privatumo politika.

Gidas „Kaip užpildyti pranešimą apie asmens duomenų tvarkymo pradžią“

1 žingsnis: Bendroji informacija apie operatorių

• Registracijos regionas / Operatorius / Pavadinimas / Adresas / INN, OGRN: Duomenys nurodomi griežtai pagal EGRUL/EGRIP. Patikrinkite informacijos aktualumą FNS svetainėje.
• Telefonas / El. pašto adresas: Nurodykite kontaktinius duomenis, kuriais Roskomnadzor galės su jumis susisiekti.
• Tvarkymo regionas: Nurodykite regionus, kuriuose faktiškai veikia jūsų įmonė ir tvarkomi duomenys (pvz., pagrindinis biuras, filialai). Jei veikla vykdoma visoje Rusijoje, galite nurodyti „Rusijos Federacija“.

2 žingsnis: Asmens duomenų tvarkymo tikslai

Tai labai svarbus blokas. Reikia išsamiai aprašyti kiekvieną tikslą. Pasinaudokite savo Privatumo politikos 5 skyriumi.

Pavyzdys, kaip užpildyti tikslą „Užsakymų pateikimas ir vykdymas, statuso kontrolė, pristatymas“ (remiantis 5.2 ir 5.3 Politikos punktais):

• Tvarkymo tikslas: Užsakymų prekių/paslaugų pateikimas, vykdymas, statuso kontrolė ir pristatymas, bendravimas su vartotoju dėl užsakymo klausimų.
• Asmens duomenų kategorijos: pavardė, vardas, tėvavardis; telefono numeris; el. pašto adresas; pristatymo adresas; mokėjimo kortelių duomenys/kita mokėjimo informacija; užsakymo detalės.
• Subjektų kategorijos: Vartotojai, pateikiantys užsakymus ir užsakantys pristatymą.
• Teisinis tvarkymo pagrindas: Asmens duomenų subjekto sutikimas (6 straipsnis FZ „Dėl asmens duomenų“); sutartis (Vartotojo susitarimas).
• Veiksmų sąrašas: Rinkimas, įrašymas, sisteminimas, kaupimas, saugojimas, tikslinimas (atnaujinimas, keitimas), išgavimas, naudojimas, perdavimas (įskaitant tvarkymo pavedimą), anonimizavimas, blokavimas, ištrynimas, sunaikinimas.
• Tvarkymo būdai: Automatizuotas  tvarkymas.

Panašiai užpildykite kitus Politikos tikslus, pavyzdžiui:

• Paskyros registracija (5.1 punktas).
• Rinkodaros komunikacijos (5.4 punktas).
• Grįžtamasis ryšys ir palaikymas (5.5, 5.7 punktai).
• Akcijų ir lojalumo programų vykdymas (5.6 punktas).
• Paslaugų darbo gerinimas, analitika, saugumas (5.9, 5.10, 5.11 punktai).

3 žingsnis: Tvarkymo būdai

Pasirinkite skirtukuose: „Automatizuotas“, „Su perdavimu per juridinio asmens vidinį tinklą“, „Su perdavimu per internetą“.

4 žingsnis: Asmens duomenų apsaugos priemonės (18.1 ir 19 straipsniai FZ-152)

Aprašykite konkrečias organizacines ir technines priemones. Galite remtis savo Politikos 7 skyriumi.

Pavyzdys, kaip užpildyti:

1. Paskirti atsakingi už asmens duomenų tvarkymo organizavimą ir saugumo užtikrinimą.
2. Parengta ir patvirtinta Asmens duomenų tvarkymo politika.
3. Darbuotojai, atliekantys tvarkymą, supažindinti su RF asmens duomenų įstatymų nuostatomis ir vietiniais aktais.
4. Vykdomas prieigos prie informacinių sistemų valdymas (paskyros, slaptažodžiai).
5. Naudojamos techninės apsaugos priemonės: ugniasienės (firewall), antivirusinė programinė įranga, įsilaužimų aptikimo priemonės.
6. Užtikrinamas informacijos atsarginis kopijavimas.
7. Vykdomas vartotojų veiksmų protokolavimas ir apskaita informacinėse sistemose.
8. Perduodant duomenis per internetą naudojamas saugus ryšys (HTTPS/TLS protokolas).

5 žingsnis: Šifravimo (kriptografinių) priemonių naudojimas

Nurodyti naudojamos / nenaudojamos.

Jei naudojamos, nurodyti SKZI klasę ir pavadinimą, gamintojus, šifravimo priemonių serijos numerius.

Pavyzdžiui:

• SKZI klasė: KS2; KS3.
• Pavadinimas, gamintojai, šifravimo priemonių serijos numeriai: SKZI CryptoPro CSP, PAK „AK-serveris“, VipNet CSP.

6 žingsnis: Datos ir sąlygos

• Tvarkymo pradžios data: Nurodykite datą, kada faktiškai pradėjote dirbti su klientų asmens duomenimis (gali sutapti su įmonės registracijos data).
• Tvarkymo pabaigos terminas arba sąlyga: Pasirinkite skirtuke: „Pabaigos sąlyga“. Toliau nurodoma:  „Juridinio asmens likvidavimas arba reorganizacija“.

7 žingsnis: Tarpvalstybinis perdavimas

Jei neperduodate duomenų už RF ribų, nurodykite „Nevykdoma“.

8 žingsnis: Duomenų bazės vietos informacija

Tai kritiškai svarbus punktas FoodSoul klientams. UAB „FoodSoul“ technologinę platformos infrastruktūrą (serverinę įrangą) talpina Rusijos Federacijos teritorijoje esančiame išorės duomenų centre (DC). Taip pat, jei papildomai naudojate savo DC, pridėkite informaciją ir užpildykite Duomenų bazę Nr. 2 su informacija apie savo DC.

Pavyzdys, kaip užpildyti duomenų saugojimo vietos informaciją:

• Šalis: Rusija
• DC adresas: 123060, Maskva, Berzarina g., 36, str. 3
• Savo DC: ne

Informacija apie organizaciją, atsakingą už duomenų saugojimą:

• Organizacijos tipas: juridinis asmuo
• Organizacinė-teisinė forma: AO
• Organizacijos pavadinimas: Akcinė bendrovė „Selectel“
• OGRN: 1247800067790
• INN: 7810962785
• Šalis: Rusija
• Adresas: 196006, Sankt Peterburgas, Tsvetochnaya g., 21, lit. A (pagal EGRUL)

* Jei taip pat naudojamas savo DC — pridėkite Duomenų bazę Nr. 2 ir įrašykite savo organizacijos duomenis pagal EGRUL.

9 žingsnis: Informacija apie asmenis, turinčius prieigą ir (arba) vykdančius pagal sutartį asmens duomenų tvarkymą, esančius valstybinėse ir savivaldybių informacinėse sistemose.

Čia nurodomi tretieji asmenys, kuriems operatorius perduoda duomenis, turintys prieigą prie IS, arba kurie tvarko duomenis pagal sutartį (6 straipsnis 152-FZ). Reikia išvardyti pavadinimus/FIO, INN, adresą ir tvarkymo tikslą. Tai gali būti IT įmonės, aptarnaujančios GIS/MIS, ryšių operatoriai, pritraukti kontrahentai, debesų tiekėjai, kuriems perduodami asmens duomenys.

Jei neturite tokių sistemų, reikia ištrinti laukų rinkinį naudodami mygtuką „Ištrinti“ po laukų sąrašu su kontaktų rekvizitais.

10 žingsnis: Informacija apie asmens duomenų saugumo užtikrinimą

Čia nurodomas priemonių sąrašas, kurį įgyvendinate siekdami įvykdyti reikalavimus, nustatytus Rusijos Federacijos Vyriausybės nutarimu nuo 2012-11-01 Nr. 1119 „Dėl asmens duomenų apsaugos reikalavimų patvirtinimo jų tvarkymo informacinėse sistemose“. Šiame skyriuje galite nurodyti:

Operatorius užtikrina duomenų apsaugos reikalavimų vykdymą naudodamas debesų platformą, kurią teikia UAB „FoodSoul“ (INN 4345369685), atitinkančią šiuos reikalavimus:

1. Organizacinės priemonės:

• Sudaryta sutartis su platformos savininku (UAB „FoodSoul“), nustatanti jo pareigas kaip operatoriaus, vykdančio tvarkymą pagal pavedimą.
• Užtikrinamas darbuotojų prieigos prie platformos funkcionalumo ribojimas pagal minimalios privilegijos principą (vaidmenų modelis).
• Darbuotojų paskyros apsaugotos unikaliomis slaptažodžiais.

2. Techninės priemonės:

• Prieiga prie platformos ir duomenų perdavimas tarp vartotojo ir sistemos vykdomas tik per saugius ryšio kanalus naudojant HTTPS/TLS (šifravimas) protokolus.
• Vartotojų autentifikacija ir autorizacija užtikrinama pačios platformos priemonėmis.
• Apsauga nuo kenksmingo kodo (antivirusinė apsauga) ir ugniasienės (Firewall) įgyvendintos platformos savininko infrastruktūros pusėje.
• Platformos savininkas užtikrina reguliarų duomenų atsarginį kopijavimą ir fizinę serverinės įrangos apsaugą duomenų centruose RF teritorijoje.
• Užtikrinama saugumo įvykių registracija platformos teikiamo funkcionalumo rėmuose (veiksmų žurnalai).

3. Priemonių vykdymo kontrolė:

• Operatorius kontroliuoja platformos savininko sutarties sąlygų laikymąsi asmens duomenų saugumo užtikrinimo srityje.

11 žingsnis: Asmens, suformavusio pranešimą, duomenys

Nurodykite FIO, pareigas ir kontaktinę informaciją asmens, kuris siunčia šį pranešimą Roskomnadzor.

12 žingsnis: Pranešimo pasirašymas ir siuntimas

1 variantas. Popieriniu formatu

Suformuota spausdinta Pranešimo forma popieriniu formatu turi būti pasirašyta organizacijos vadovo arba asmens, turinčio teisę pasirašyti dokumentus, nurodyta data ir antspaudas (jei yra), siunčiama teritoriniam Roskomnadzor valdybai paštu arba pristatoma asmeniškai.

2 variantas. Elektroniniu formatu naudojant sustiprintą kvalifikuotą elektroninį parašą

Galite užpildyti formą ir pasirašyti ją elektroniniu parašu. Tokiu atveju popierinio formato pateikimas nereikalingas. Jums turi būti įdiegtas CryptoPro ECP Browser plug-in ir sukonfigūruotas darbas su juo.

3 variantas. Elektroniniu formatu naudojant ESIA autentifikavimo priemones

Autentifikuokitės Valstybės paslaugų portale, užpildykite formą ir išsiųskite ją elektroniniu formatu. Jūs turite turėti patvirtintą paskyrą. Tokiu atveju popierinio formato kopijos siuntimas nereikalingas. Jei pateikiate pranešimą už organizaciją, jūsų paskyra turi būti susieta su šia organizacija Valstybės paslaugų portale.

PARUOŠTA! Po sėkmingo siuntimo būsite įtraukti į operatorių registrą. Išsaugokite pranešimo numerį ir raktą.

Po sėkmingo pranešimo siuntimo Roskomnadzor ir įtraukimo į operatorių registrą būtina užtikrinti tinkamą kasdienį darbą su asmens duomenimis. Pagrindiniai praktiniai šio darbo aspektai yra slapukų ir analitikos naudojimas, taip pat vartotojų užklausų tvarkymas.

Sutikimo gavimo mechanizmas naudojant išorines duomenų rinkimo formas

Daugelis FoodSoul klientų, siekdami pritraukti klientus, savo svetainėse talpina išorines duomenų rinkimo formas (valdiklius) — pavyzdžiui, atgalinio skambučio užsakymo formas arba kreipimosi į techninę pagalbą formas. Svarbu suprasti, kad tokias integracijas į svetainę klientai įdiegia savarankiškai.

Kad duomenų rinkimas per šias formas būtų teisėtas, būtina įvykdyti dvi sąlygas:

1. Tekstinis sutikimas. Tiesiogiai po duomenų rinkimo forma (valdikliu) reikia pateikti vartotojui suprantamą formuluotę, kad, paspaudęs siuntimo mygtuką, jis sutinka su jo asmens duomenų tvarkymu.
2. Nuorodos į dokumentus. Ši formuluotė turi turėti aktyvias (spustelėjamas) nuorodas į du dokumentus:
   • Vartotojo susitarimą (arba Pasiūlymo sutartį), kur aprašytos paslaugų teikimo sąlygos.
   • Privatumo politiką, kur išsamiai aprašyta, kokie duomenys renkami, kodėl ir kaip tvarkomi.

Rekomenduojama formuluotė, kurią reikia pateikti po forma:

„Paspaudę „Siųsti“, jūs sutinkate su Vartotojo susitarimo sąlygomis ir duodate sutikimą tvarkyti asmens duomenis pagal Privatumo politiką“.

Ši paprasta priemonė apsaugos jus nuo pretenzijų iš kontrolės institucijų ir įrodys, kad vartotojas veikė sąmoningai ir savanoriškai.

Kaip dirbti su slapukais, analitika ir vartotojų užklausomis

Slapukai ir analitika

FoodSoul programinė įranga naudoja slapukus ir skaitiklius (jei taikoma) tam, kad:

• užtikrintų paslaugų veikimą;
• personalizuotų funkcijas;
• vykdytų analitiką ir statistiką;
• gerintų programinės įrangos kokybę;
• personalizuotų reklamą.

Šie duomenys taip pat yra asmeniniai, ir jų tvarkymas turi būti atspindėtas pranešime, kaip buvo aprašyta aukščiau. Svarbu prisiminti, kad vartotojas gali uždrausti slapukų naudojimą naršyklės nustatymuose, tačiau kai kurios paslaugos funkcijos gali būti nepasiekiamos.

Vartotojų užklausos

Viena iš tiesioginių operatoriaus pareigų — laiku reaguoti į asmens duomenų subjektų kreipimusis. Vartotojas turi teisę:

• prašyti informacijos apie savo duomenų tvarkymą;
• keisti savo asmens duomenis;
• ištrinti duomenis, siųsdamas užklausą adresu info@fs.me.

Savo teisių įgyvendinimui vartotojas gali kreiptis į operatorių (FoodSoul klientą) arba naudoti asmeninės paskyros funkcionalumą (kur taikoma). Paskyros ištrynimas arba sutikimo atšaukimas gali lemti tolesnio atitinkamų Paslaugų naudojimo negalimumą.

Tuo pačiu įstatymai gali įpareigoti operatorių saugoti tam tikrus duomenis nustatytą laikotarpį arba perduoti juos valstybės institucijoms.

Išvada

Naudodamas FoodSoul programinę įrangą, verslas gauna patogų ir saugų įrankį, tačiau kartu prisiima asmens duomenų operatoriaus statusą. Savo pareigų supratimas, tinkamas darbas su duomenimis ir skaidrios sąveikos su vartotojais taisyklės — tai ne formalumas, o realus būdas sumažinti teisines rizikas ir padidinti klientų pasitikėjimą.

Vis dar nesate registre? Pateikite pranešimą su mūsų gidu — tai paprasčiau, nei atrodo!
FoodSoul su jumis kiekviename žingsnyje.

Pagarbiai,

FoodSoul komanda