Политика конфиденциальности

Правила обработки и защиты персональных данных на сайте HPBS

Кратко о документе

Настоящая Политика объясняет, какие персональные данные получает ООО «HPBS», зачем они нужны, как используются и защищаются, кому могут передаваться, как долго хранятся и какими правами обладает пользователь. Она распространяется на сайт HPBS, его формы обратной связи и иные каналы взаимодействия с пользователями.

1 Общие положения

1.1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — «Политика») определяет правила обработки и защиты персональных данных ООО «HPBS» (далее — «Оператор», «мы») при использовании сайта HPBS, его форм обратной связи и иных цифровых сервисов HPBS.

1.2. Политика разработана в соответствии с Законом Республики Узбекистан «О персональных данных» № ЗРУ-547 от 2 июля 2019 года в действующей редакции, иными применимыми актами законодательства Республики Узбекистан, а также с учетом договорных обязательств Оператора перед клиентами и пользователями.

1.3. Используя сайты, создавая учетную запись, направляя форму или продолжая работу в личном кабинете после ознакомления с Политикой, пользователь подтверждает, что ознакомился с ее условиями. Когда законом требуется согласие, Оператор запрашивает его отдельно в форме, позволяющей подтвердить факт получения.

1.4. Если пользователь предоставляет данные другого лица, он подтверждает наличие законного основания для такой передачи и обязан уведомить это лицо о настоящей Политике.

1.5. Политика не заменяет отдельное согласие на обработку персональных данных, согласие на маркетинговые сообщения, договор, пользовательское соглашение или условия конкретной услуги, если такие документы требуются.

2 Сфера действия

2.1. Политика применяется к сайту hpbs.uz, включая его страницы, формы, официальные поддомены и программные интерфейсы.

2.2. Политика также применяется к обращениям через формы обратной связи, регистрации на мероприятия, запросам демонстрации и коммерческого предложения, службе поддержки, интеграциям с CRM и иным информационным системам, используемым для предоставления сервисов.

2.3. Сторонние сайты и сервисы, на которые ведут внешние ссылки, действуют по собственным правилам. Оператор не определяет цели и способы обработки данных такими независимыми лицами.

3 Основные понятия

4 Какие данные мы обрабатываем

4.1. Состав данных зависит от выбранного ресурса, роли пользователя, условий договора и используемой функции. Оператор может обрабатывать:

• идентификационные данные: фамилия, имя, отчество, должность, организация, роль в проекте или системе;
• контактные данные: рабочий и личный адрес электронной почты, номер телефона, адрес для связи;
• данные учетной записи: логин, идентификатор пользователя, сведения о ролях и правах доступа, настройки профиля, статус учетной записи; пароль хранится в защищенном виде и не отображается сотрудникам Оператора;
• данные обращений и взаимодействия: содержание заявок, переписки, запросов в поддержку, обратной связи, согласий и отказов;
• договорные и платежные сведения: реквизиты клиента или контрагента, сведения о представителях, договорах, счетах и платежах; банковские данные обрабатываются только в объеме, необходимом для расчетов и учета;
• проектные и корпоративные данные, которые могут содержать сведения о сотрудниках, экспертах, аудиторах, верификаторах, поставщиках и иных участниках процессов;
• данные реестров: сведения о заявителях, правообладателях, участниках климатических проектов, экспертах и верификаторах, если они предусмотрены правилами соответствующего реестра;
• технические данные: IP-адрес, дата и время доступа, тип устройства и браузера, операционная система, язык, URL перехода, идентификаторы сеанса, журналы событий, сведения об ошибках и безопасности;
• данные об использовании: посещенные разделы, выполненные действия, выбранные настройки, отклики на интерфейс и агрегированные показатели использования;
• информация из cookies и аналогичных технологий в пределах выбранных пользователем настроек.

4.2. Оператор не запрашивает специальные персональные данные, биометрические или генетические данные для обычной регистрации и использования сервисов. Если их обработка станет необходимой для отдельной функции, она будет осуществляться только на предусмотренном законом основании и с отдельным уведомлением пользователя.

4.3. Экологические, энергетические, финансовые и производственные показатели юридического лица сами по себе не являются персональными данными. Однако к ним применяются положения настоящей Политики, если они позволяют прямо или косвенно идентифицировать физическое лицо.

5 Источники получения данных

5.1. Оператор получает данные:

• непосредственно от пользователя при заполнении форм, регистрации, заключении договора, настройке профиля и обращении в поддержку;
• от клиента или работодателя пользователя, который предоставляет ему доступ к рабочему пространству;
• от уполномоченных представителей, партнеров, подрядчиков, аудиторов и верификаторов в рамках проекта или договора;
• автоматически при использовании сайта HPBS и его форм;
• из законно доступных государственных, корпоративных и публичных источников, если это необходимо для проверки проекта, контрагента, климатического заявления или реестровой записи;
• через разрешенные пользователем интеграции и импортируемые файлы.

6 Цели и правовые основания обработки

7 Порядок обработки

7.1. Обработка может выполняться автоматизированным, неавтоматизированным или смешанным способом. Оператор совершает только действия, необходимые для заявленных целей.

7.2. Доступ к данным предоставляется по ролевой модели и в объеме, необходимом сотруднику, клиенту, эксперту, верификатору или подрядчику для выполнения его задач. Действия в системе могут регистрироваться в журналах аудита.

7.3. При использовании цифровых сервисов HPBS доступ к данным предоставляется в пределах выданных полномочий. Клиент отвечает за законность передачи персональных данных своих сотрудников и иных лиц.

7.4. Автоматизированные расчеты и рекомендации сервисов HPBS предназначены для информационной и рабочей поддержки. Решения, создающие юридические последствия для физического лица, не должны приниматься исключительно на их основе без предусмотренной законом или договором проверки человеком.

8 Публикация информации

8.1. HPBS может публиковать на сайте сведения о проектах, мероприятиях и оказываемых услугах. До публикации персональных данных пользователь получает информацию о составе публикуемых данных и, когда это требуется, дает отдельное согласие на их распространение.

8.2. Контактные данные, документы, подписи, идентификаторы и иная информация ограниченного доступа не публикуются, если публикация прямо не предусмотрена законом или отдельным согласием субъекта.

8.3. Пользователь может направить запрос на уточнение, ограничение доступа или удаление опубликованных персональных данных. Оператор рассматривает запрос с учетом требований законодательства и прав других лиц.

9 Cookies и аналитика

9.1. Сайты могут использовать следующие категории cookies:

• обязательные — обеспечивают безопасность, авторизацию, сохранение сеанса и работу основных функций;
• функциональные — запоминают язык, интерфейс и иные пользовательские настройки;
• аналитические — помогают оценивать посещаемость, производительность и удобство использования в агрегированном виде;
• маркетинговые — используются только при их фактическом подключении и наличии требуемого согласия.

9.2. Необязательные cookies активируются в соответствии с выбором пользователя в панели настроек. Пользователь может изменить выбор, удалить cookies или ограничить их использование средствами браузера. Отключение обязательных cookies может нарушить работу авторизации и отдельных функций.

9.3. Если к сайтам подключаются сторонние средства аналитики, чата, карт, видео или защиты от автоматизированных запросов, до их активации пользователю предоставляется необходимая информация, а передача данных осуществляется на законном основании.

10 Передача данных третьим лицам

10.1. Оператор может передавать данные только в необходимом объеме следующим категориям получателей:

• поставщикам хостинга, инфраструктуры, резервного копирования, связи, технической поддержки и информационной безопасности;
• поставщикам CRM, сервисов деловой коммуникации и управления обращениями;
• аудиторам, консультантам, верификаторам и экспертам, привлеченным к конкретному проекту;
• партнерам и подрядчикам, участвующим в оказании заказанной услуги;
• банкам и платежным организациям при совершении расчетов;
• государственным органам, судам и иным уполномоченным лицам в случаях и порядке, предусмотренных законодательством;
• новому собственнику или правопреемнику при реорганизации либо передаче соответствующего бизнеса с сохранением требований конфиденциальности.

10.2. Лица, обрабатывающие данные по поручению Оператора, обязуются соблюдать конфиденциальность, использовать данные только по установленным целям и применять надлежащие меры защиты.

10.3. Оператор не продает персональные данные и не передает их для независимого рекламного использования без отдельного согласия пользователя.

11 Трансграничная передача и место хранения

11.1. Оператор организует хранение и трансграничную передачу персональных данных с учетом требований законодательства Республики Узбекистан.

11.2. Персональные данные, подлежащие обязательному хранению на территории Республики Узбекистан, хранятся на территории Республики Узбекистан. Иные данные могут храниться или обрабатываться за ее пределами при наличии предусмотренных законом условий и достаточных гарантий защиты.

11.3. До подключения внешнего облачного сервиса Оператор оценивает место обработки, договорные условия, меры безопасности и допустимость передачи. При необходимости запрашивается отдельное согласие субъекта.

12 Сроки хранения и уничтожение

12.1. Данные хранятся не дольше, чем это необходимо для целей обработки, срока действия согласия или исполнения договора, если более длительный срок не установлен законодательством либо не требуется для защиты законных прав.

12.2. Применяются следующие ориентиры, если иной срок не установлен договором или обязательными правилами:

• данные обращений и учетных записей — в течение срока, необходимого для обработки обращения, исполнения договора и обеспечения безопасности;
• заявки и переписка — на период обработки обращения и последующего подтверждения его исполнения;
• договорные, бухгалтерские и платежные документы — в течение сроков обязательного хранения;
• журналы безопасности и технические резервные копии — в течение сроков, установленных внутренними регламентами с учетом рисков и необходимости расследования инцидентов;
• маркетинговые контакты — до отзыва согласия или прекращения соответствующей рассылки;
• сведения по проектам и услугам — в течение срока, необходимого для исполнения договора и соблюдения требований законодательства.

12.3. После достижения цели данные уничтожаются, обезличиваются или блокируются, если их дальнейшее хранение не требуется по закону. Удаление из резервных копий выполняется в ходе установленного цикла их обновления при сохранении ограничения доступа.

13 Защита данных

13.1. Оператор применяет правовые, организационные и технические меры, соответствующие характеру данных и рискам обработки, включая:

• разграничение доступа по ролям и принципу минимально необходимых полномочий;
• идентификацию и аутентификацию пользователей, управление сеансами и паролями;
• шифрование защищенных соединений и, где применимо, данных при хранении;
• журналирование действий, мониторинг событий и реагирование на инциденты;
• резервное копирование и проверку восстановления;
• обновление программного обеспечения, контроль уязвимостей и конфигураций;
• обучение сотрудников и договорные обязательства о конфиденциальности;
• оценку подрядчиков и ограничение их доступа;
• периодический пересмотр мер защиты.

13.2. Пользователь обязан сохранять конфиденциальность учетных данных, применять надежный пароль, не передавать доступ другим лицам и незамедлительно сообщать о подозрительной активности.

13.3. Ни один способ передачи и хранения информации не обеспечивает абсолютную безопасность. При выявлении инцидента Оператор принимает меры по локализации, устранению последствий и уведомлению затронутых лиц и уполномоченных органов, если это требуется законодательством.

14 Права пользователя

14.1. В пределах, предусмотренных законодательством, пользователь вправе:

• узнать о наличии у Оператора своих персональных данных и получить информацию об их составе и обработке;
• потребовать уточнения неполных, устаревших или неточных данных;
• отозвать согласие, если обработка основана на согласии;
• потребовать временного приостановления обработки или уничтожения данных при наличии законных оснований;
• отказаться от маркетинговых сообщений;
• получить информацию об условиях предоставления доступа к данным;
• обратиться в уполномоченный государственный орган или суд для защиты прав и законных интересов.

14.2. Отзыв согласия не влияет на законность обработки, выполненной до его получения, и не прекращает обработку, которая необходима для исполнения требований закона или защиты прав Оператора и иных лиц.

15 Порядок направления запросов

15.1. Запрос можно направить через форму обратной связи или по контактным данным ООО «HPBS», опубликованным в разделе «Контакты» на сайте HPBS.

15.2. В запросе рекомендуется указать фамилию и имя, контакт для ответа, используемый ресурс, суть требования и сведения, позволяющие найти соответствующие данные. Оператор вправе запросить подтверждение личности и полномочий представителя, чтобы исключить неправомерное раскрытие или изменение данных.

15.3. Оператор рассматривает запрос в срок и порядке, установленных законодательством. Если исполнение требования ограничено законом, условиями договора или правами других лиц, пользователю направляется мотивированный ответ.

16 Данные несовершеннолетних

16.1. Сервисы предназначены преимущественно для профессионального и корпоративного использования и не ориентированы на самостоятельное использование несовершеннолетними.

16.2. Если Оператору станет известно, что данные несовершеннолетнего получены без требуемого согласия законного представителя, он примет меры для ограничения обработки и удаления данных, если отсутствует иное законное основание.

17 Обязанности корпоративных клиентов

17.1. Клиент, который загружает данные в платформу или предоставляет доступ своим сотрудникам, самостоятельно обеспечивает наличие законного основания, информирование субъектов, корректность состава данных и соблюдение ограничений доступа.

17.2. Если ООО «HPBS» обрабатывает данные исключительно по документированному поручению клиента, распределение обязанностей собственника и оператора базы персональных данных определяется договором. Клиент не должен загружать специальные, биометрические, генетические или избыточные данные без предварительного письменного согласования.

18 Изменение Политики

18.1. Оператор вправе изменять Политику при развитии сервисов, изменении процессов обработки или законодательства. Новая редакция вступает в силу с даты публикации, если в ней не указано иное.

18.2. При существенных изменениях, влияющих на права пользователей или цели обработки, Оператор размещает заметное уведомление на ресурсах HPBS и при необходимости повторно запрашивает согласие.

19 Контакты оператора

Оператор персональных данных: ООО «HPBS», Республика Узбекистан.

Обращения по вопросам персональных данных принимаются через форму обратной связи и по актуальным реквизитам, размещенным в разделе «Контакты» на сайте hpbs.uz.

20 Нормативная основа

Закон Республики Узбекистан «О персональных данных» № ЗРУ-547 от 2 июля 2019 года, действующая редакция: LexUZ

Конец документа