Политика обработки персональных данных

1. Общие положения

Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки персональных данных и меры по обеспечению их безопасности в сервисе Horeca Legacy (далее — «Сервис»), расположенном на сайте horeca-legacy.ru.

Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и иными нормативными актами Российской Федерации, регулирующими обработку персональных данных.

Регистрируясь в Сервисе или используя его, вы подтверждаете, что ознакомились с настоящей Политикой и даёте согласие на обработку персональных данных в указанных в ней целях.

2. Реквизиты оператора

Оператором персональных данных является:

• Самозанятый Бортников Ростислав Витальевич
• ИНН: 391404059261
• Адрес: г. Санкт-Петербург
• Email для запросов: horeca_legacy_help@mail.ru

3. Используемые термины

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без таковых (сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение).

Пользователь — физическое лицо, использующее Сервис в качестве соискателя или владельца ресторана / кафе / бара.

Cookies — небольшие фрагменты данных, сохраняемые браузером Пользователя на устройстве и используемые для работы Сервиса.

4. Цели обработки персональных данных

Оператор обрабатывает персональные данные в следующих целях:

• регистрация и идентификация Пользователя в Сервисе;
• предоставление Пользователю функционала Сервиса: размещение резюме / вакансий, отклики на вакансии, обмен сообщениями между соискателями и работодателями;
• обеспечение связи с Пользователем (подтверждение email, восстановление пароля, сервисные уведомления);
• приём оплаты платных услуг Сервиса и направление чека об оплате;
• выполнение требований законодательства РФ, включая ведение учёта и предоставление информации по запросам уполномоченных органов;
• улучшение качества Сервиса, в том числе анализ агрегированной обезличенной статистики использования;
• защита прав и законных интересов Оператора и Пользователя.

5. Правовые основания обработки

Обработка персональных данных осуществляется на следующих основаниях:

• согласие субъекта персональных данных (статья 6, часть 1, пункт 1 152-ФЗ);
• исполнение договора, заключаемого с Пользователем при регистрации (статья 6, часть 1, пункт 5);
• исполнение обязанностей, возложенных законодательством РФ (статья 6, часть 1, пункт 2);
• достижение целей, предусмотренных законом, при условии что обработка не нарушает права субъекта (статья 6, часть 1, пункт 7).

6. Перечень обрабатываемых персональных данных

Оператор обрабатывает следующие категории персональных данных:

• фамилия, имя (при наличии — отчество);
• email;
• номер телефона (если указан);
• город / регион;
• для соискателей: данные резюме (опыт работы, навыки, образование, фотография, желаемая должность, контакты), статусы откликов на вакансии, переписка с работодателями в чатах;
• для владельцев заведений: название, адрес и описание заведения, фотографии, реквизиты, переписка с соискателями;
• технические данные: IP-адрес, тип браузера, операционная система, URL переходов, идентификаторы устройства, cookies;
• сведения о платежах за услуги Сервиса: услуга, сумма, дата и статус платежа, адрес электронной почты или номер телефона для чека. Данные банковской карты Оператор не получает;
• метаданные использования Сервиса (время и факт авторизации, действия в интерфейсе, факт и время просмотра вакансии — для счётчика просмотров в кабинете заведения);
• внутренние заметки владельца заведения о соискателе, откликнувшемся на его вакансию: свободный текст, который ведёт сторона работодателя для собственного найма. Соискателю такие заметки не показываются; они удаляются вместе с откликом и с аккаунтом заведения;
• обращения о нарушениях: кто, на кого и с каким текстом пожаловался, а также факт блокировки одного пользователя другим. Обрабатываются для модерации размещаемых материалов.

Оператор не запрашивает и не обрабатывает специальные категории персональных данных (расовая принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные.

7. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

• Пользователи, зарегистрировавшиеся в Сервисе в качестве соискателей;
• Пользователи, зарегистрировавшиеся в Сервисе в качестве владельцев ресторанов / кафе / баров;
• посетители сайта без регистрации (в части технических данных и cookies).

8. Способы обработки персональных данных

Обработка персональных данных осуществляется с использованием средств автоматизации (на серверах Оператора и привлечённых им процессоров) и без них (при необходимости — в бумажном виде).

Действия, совершаемые с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

9. Передача персональных данных третьим лицам

Оператор привлекает к обработке персональных данных следующих процессоров — третьих лиц, действующих по поручению Оператора:

• ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud) — сервер, на котором работает Сервис, и основная база данных; серверы в России;
• Supabase Inc. (США) — вход в учётную запись (email, номер телефона, пароль в виде хеша), письма для подтверждения регистрации и восстановления доступа, хранение загруженных файлов (фотографии, резюме, файлы переписки); серверы в Ирландии (ЕС);
• Resend Inc. (США) — доставка сервисных email-сообщений (уведомления об откликах, сообщениях и оплатах, сводки); письма отправляются через серверы в Ирландии (ЕС).

С каждым из процессоров заключён договор, обязывающий их соблюдать конфиденциальность и безопасность персональных данных в объёме, не меньшем чем требуется 152-ФЗ.

Для приёма оплаты Оператор передаёт ООО НКО «ЮМани» (сервис ЮKassa) сумму и описание платежа, в том числе адрес электронной почты или номер телефона из учётной записи Пользователя, который оплачивает услугу, — на него Оператор направляет чек, сформированный в приложении ФНС «Мой налог». Данные банковской карты Пользователь вводит на странице ЮKassa; Оператор их не получает и не хранит.

Между Пользователями Сервиса возможна передача данных в рамках функционала: соискатель, отправляющий отклик на вакансию, предоставляет владельцу заведения данные своего резюме; владелец заведения предоставляет соискателям публичную информацию о заведении и вакансии. Такая передача осуществляется по инициативе самого Пользователя и в объёме, который он явно указал в Сервисе.

Оператор не продаёт персональные данные третьим лицам и не передаёт их в рекламных целях.

Оператор может передать персональные данные в случаях, предусмотренных законодательством РФ — по запросу уполномоченных государственных органов (МВД, ФСБ, суды, ФНС и т. п.) в порядке, установленном законом.

10. Трансграничная передача персональных данных

Сервер Сервиса и основная база данных находятся в России. За пределами Российской Федерации персональные данные обрабатывают два процессора из раздела 9 — компании из США: Supabase Inc. хранит данные для входа в учётную запись и загруженные файлы, а Resend Inc. отправляет email-сообщения. Серверы, на которых это происходит, расположены в Ирландии — стране Европейского союза, обеспечивающей адекватную защиту прав субъектов персональных данных. Перечень таких стран утверждён Приказом Роскомнадзора.

Оператор уведомил Роскомнадзор о намерении осуществлять трансграничную передачу персональных данных в порядке, установленном статьёй 12 152-ФЗ.

11. Сроки обработки и хранения

Персональные данные обрабатываются в течение всего срока действия учётной записи Пользователя в Сервисе.

При удалении учётной записи персональные данные удаляются в течение 30 (тридцати) дней, за исключением данных, которые Оператор обязан сохранять в силу требований законодательства РФ (например, данные о платежах — в течение сроков, установленных Налоговым кодексом РФ).

Cookies и иные технические идентификаторы хранятся в соответствии со сроками, указанными при их установке (как правило, не более 12 месяцев), либо до момента отзыва согласия Пользователем.

12. Меры по обеспечению безопасности персональных данных

Оператор принимает следующие организационные и технические меры:

• шифрование передачи данных по протоколу HTTPS (TLS) на всех страницах Сервиса;
• хранение паролей в виде защищённого хеша (Argon2 / bcrypt);
• ограничение доступа сотрудников и подрядчиков к персональным данным в объёме, необходимом для выполнения их функций;
• регулярное резервное копирование баз данных;
• мониторинг и логирование действий, потенциально связанных с обработкой персональных данных;
• применение средств защиты от несанкционированного доступа.

13. Cookies и аналогичные технологии

Оператор использует cookies и аналогичные технологии для:

• обеспечения работы Сервиса — авторизация, сохранение настроек интерфейса (без них Сервис не функционирует). Эти cookies устанавливаются автоматически и не требуют отдельного согласия;
• аналитики использования Сервиса — обезличенная агрегированная статистика (только при наличии согласия Пользователя).

При первом посещении Сервиса Пользователь получает уведомление о cookies с возможностью принять или отклонить дополнительные cookies. Отказ от дополнительных cookies не ограничивает доступ к основному функционалу Сервиса.

Пользователь может в любой момент изменить настройки cookies в своём браузере или отозвать ранее данное согласие, очистив сохранённые на устройстве данные.

14. Права субъектов персональных данных

В соответствии со статьями 14–16 152-ФЗ субъект имеет право:

• получать сведения об обработке своих персональных данных;
• требовать уточнения, блокирования или уничтожения персональных данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели обработки;
• отозвать своё согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке;
• защищать свои права и законные интересы, в том числе на возмещение убытков и компенсацию морального вреда.

15. Порядок обработки запросов от субъектов

Запросы и обращения, связанные с обработкой персональных данных, направляются Оператору на email horeca_legacy_help@mail.ru либо по почтовому адресу, указанному в разделе 2 Политики.

В обращении Пользователю необходимо указать: фамилию, имя, отчество (при наличии), email учётной записи в Сервисе, существо обращения и подпись (для письменных обращений).

Оператор обязуется рассмотреть обращение и направить мотивированный ответ в течение 30 (тридцати) календарных дней с момента получения обращения, если иной срок не установлен законом.

16. Контакты для обращений

• Email для запросов по обработке персональных данных: horeca_legacy_help@mail.ru
• Общий контактный email: horeca_legacy_help@mail.ru
• Почтовый адрес: г. Санкт-Петербург

17. Изменения политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики всегда доступна по адресу horeca-legacy.ru/privacy.

Дата последнего обновления указана в начале документа. Существенные изменения, затрагивающие права субъектов, доводятся до сведения зарегистрированных Пользователей через email-уведомление.