Политика в отношении обработки персональных данных

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет основные принципы, цели, условия и способы обработки персональных данных, перечень категорий субъектов и состав обрабатываемых персональных данных, действия и операции, совершаемые с персональными данными, права субъектов персональных данных и порядок их реализации, а также реализуемые в ООО «МОБИКО» (далее — Оператор) требования к защите персональных данных. 1.2. Политика разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Федеральный закон № 152-ФЗ), Постановления Правительства Российской Федерации от 15.09.2008 № 687, Постановления Правительства Российской Федерации от 01.11.2012 № 1119 и иных нормативных правовых актов Российской Федерации в области обработки и защиты персональных данных. 1.3. Сведения об Операторе:

Полное наименование Общество с ограниченной ответственностью «МОБИКО» ИНН / ОГРН 7203528543 / 1217200017980 Адрес 625000, Тюменская область, г. Тюмень, ул. Ялуторовская, д. 27, помещ. 1, помещ. 3 Сайт и сервис Оператор является правообладателем и администратором облачного сервиса «ГеоБа», размещённого в сети «Интернет» по адресу https://geoba.ru (далее — Сервис) Контактный телефон +7 (919) 946-96-67 Адрес электронной privacy@geoba.ru (дублирующий адрес — info@geoba.ru) почты по вопросам обработки персональных данных

1.4. Ответственным за организацию обработки персональных данных у Оператора назначен Генеральный директор Денисов Михаил Андреевич. Ответственным за обеспечение безопасности персональных данных в информационных системах персональных данных назначен Генеральный директор Денисов Михаил Андреевич. 1.5. Политика применяется ко всем процессам Оператора, в рамках которых осуществляется обработка персональных данных с использованием средств автоматизации и без использования таких средств, включая процессы, связанные с функционированием Сервиса. 1.6. Положения Политики служат основой для разработки локальных нормативных актов, регламентирующих у Оператора вопросы обработки персональных данных работников и иных субъектов персональных данных. 1.7. Оператор выступает в двух правовых статусах: — как оператор персональных данных — в отношении персональных данных, обрабатываемых им самостоятельно в целях, указанных в разделе 4 настоящей Политики; — как лицо, осуществляющее обработку персональных данных по поручению оператора (часть 3 статьи 6 Федерального закона № 152-ФЗ), — в отношении персональных данных, содержащихся в пользовательском контенте, размещаемом в

Сервисе Пользователями. Особенности такой обработки установлены разделом 5 настоящей Политики. 1.8. К настоящей Политике обеспечивается неограниченный доступ в соответствии с частью 2 статьи 18.1 Федерального закона № 152-ФЗ. Политика размещается по адресу https://geoba.ru и доступна без регистрации и без взимания платы. 1.9. Сервис не предназначен для использования лицами, не достигшими 18 лет. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних. При выявлении факта регистрации несовершеннолетнего Оператор удаляет соответствующую учётную запись.

2.1. В настоящей Политике используются следующие термины и определения:

Персональные данные Любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных) Обработка Любое действие (операция) или совокупность действий персональных данных (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных Оператор Государственный орган, муниципальный орган, юридическое персональных данных или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными Субъект Физическое лицо, которое прямо или косвенно определено или персональных данных определяемо с помощью персональных данных Информационная Совокупность содержащихся в базах данных персональных система персональных данных и обеспечивающих их обработку информационных данных (ИСПДн) технологий и технических средств Сервис Облачный сервис «ГеоБа», размещённый по адресу https://geoba.ru, предназначенный для подготовки исполнительной документации и выполнения расчётов, включая личный кабинет, работу с проектами и чертежами, формирование документов и функцию ИИ-помощника Пользователь Физическое лицо, создавшее учётную запись в Сервисе и использующее Сервис от своего имени либо от имени и в интересах юридического лица или индивидуального предпринимателя

Пользовательский Файлы, документы и иные материалы, самостоятельно контент загружаемые, создаваемые и изменяемые Пользователем в Сервисе, включая файлы проектов и чертежей, сформированные документы, а также сведения, вносимые Пользователем в штампы, акты освидетельствования скрытых работ и иные формы Конфиденциальность Обязательное для соблюдения Оператором или иным персональных данных получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания Предоставление Действия, направленные на раскрытие персональных данных персональных данных определённому лицу или определённому кругу лиц Распространение Действия, направленные на раскрытие персональных данных персональных данных неопределённому кругу лиц Уничтожение Действия, в результате которых становится невозможным персональных данных восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных Обезличивание Действия, в результате которых становится невозможным без персональных данных использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных

3.1. Оператор осуществляет обработку персональных данных следующих категорий субъектов персональных данных: 1) действующие работники Оператора; 2) уволенные работники Оператора; 3) родственники работников Оператора — в объёме, необходимом для предоставления налоговых вычетов, гарантий и компенсаций, предусмотренных законодательством; 4) соискатели вакантных должностей; 5) Пользователи Сервиса (зарегистрированные пользователи); 6) лица, направившие заявку через формы обратной связи на сайте Оператора; 7) представители организаций-контрагентов, индивидуальные предприниматели и лица, применяющие специальный налоговый режим «Налог на профессиональный доход»; 8) посетители сайта Оператора. 3.2. Персональные данные третьих лиц, содержащиеся в пользовательском контенте (в том числе фамилии, имена, отчества, должности и реквизиты представителей заказчиков, подрядных организаций и органов строительного контроля, вносимые Пользователем в штампы, акты освидетельствования скрытых работ и иные формы), обрабатываются Оператором исключительно по поручению соответствующего оператора в

порядке, установленном разделом 5 настоящей Политики. В отношении таких лиц Оператор самостоятельных целей обработки не определяет. 3.3. Оператор не осуществляет обработку биометрических персональных данных (статья 11 Федерального закона № 152-ФЗ) и не размещает биометрические персональные данные в единой биометрической системе. 3.4. Специальные категории персональных данных (статья 10 Федерального закона № 152-ФЗ) обрабатываются Оператором исключительно в отношении работников и только в объёме и случаях, прямо предусмотренных трудовым законодательством и законодательством об охране труда. Обработка персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется. 3.5. Персональные данные, разрешённые субъектом персональных данных для распространения (статья 10.1 Федерального закона № 152-ФЗ), Оператором не обрабатываются. В случае необходимости размещения персональных данных в открытом доступе Оператор получает отдельное согласие в форме, установленной приказом Роскомнадзора от 24.02.2021 № 18.

4.1. Оператор осуществляет обработку персональных данных в следующих целях: — Регистрация и ведение учётной записи, предоставление доступа к Сервису; — Обработка заявок и обращений, поступивших через сайт; — Обеспечение работоспособности, доступности и безопасности Сервиса; — Информирование Пользователей; — Функционирование ИИ-помощника; — Кадровый учёт и трудовые отношения; — Бухгалтерский учёт и расчёты с персоналом; — Охрана труда; — Воинский учёт; — Подбор персонала; — Договорные отношения с контрагентами; — Рассмотрение обращений и претензий Пользователей; — Реализация прав субъектов персональных данных; — Взаимодействие с государственными органами; — Исполнение судебных актов и требований органов принудительного исполнения; — Архивное хранение документов; 4.2. Обработка персональных данных осуществляется Оператором только в рамках указанных целей и не может быть несовместимой с целями сбора персональных данных. При изменении целей обработки Оператор получает согласие субъекта персональных данных на обработку в соответствии с изменёнными целями при отсутствии иных оснований, предусмотренных Федеральным законом № 152-ФЗ.

4.3. Состав обрабатываемых персональных данных, правовые основания, действия с персональными данными, получатели и сроки хранения по каждой цели приведены ниже. Цель обработки № 1. Регистрация и ведение учётной записи, предоставление доступа к Сервису Создание и ведение учётной записи Пользователя, аутентификация, предоставление доступа к функциям Сервиса, учёт тарифного плана и подписки, техническая поддержка Пользователя

Категории субъектов Пользователи Сервиса Категории Адрес электронной почты; имя (отображаемое имя, никнейм); персональных данных пароль, хранимый исключительно в виде необратимого хэша; идентификатор учётной записи; токены доступа и идентификаторы сессии; сведения о тарифном плане, подписке и её сроке; дата и время создания учётной записи; дата, время и IP-адрес входов в учётную запись Правовое основание Пункт 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (обработка необходима для исполнения договора, стороной которого является субъект персональных данных); Гражданский кодекс Российской Федерации (ст. 435, 437, 438) Перечень действий Сбор, запись, систематизация, накопление, хранение, уточнение (операций) (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение Способы обработки Автоматизированная; сеть «Интернет» Носители Учётная запись Пользователя в информационной системе персональных данных Сервиса; журналы аутентификации; договор (оферта) и акцепт оферты в электронной форме Места хранения Серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Провайдер серверной инфраструктуры (центра обработки персональных данных данных); Провайдер сервиса доставки электронной почты (SMTP), расположенного на территории Российской Федерации Срок хранения В течение срока действия учётной записи и 3 (трёх) лет после её удаления (Гражданский кодекс Российской Федерации, ст. 196) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 2. Обработка заявок и обращений, поступивших через сайт Приём и обработка заявок, направленных через формы обратной связи на сайте Оператора, подготовка и направление коммерческого предложения, ведение преддоговорной переписки

Категории субъектов Лица, направившие заявку через сайт Оператора Категории Фамилия, имя, отчество (при наличии); номер телефона; адрес персональных данных электронной почты; наименование организации и должность (при указании субъектом); содержание обращения Правовое основание Пункт 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (обработка необходима для заключения договора по инициативе субъекта персональных данных); часть 1 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ (согласие субъекта персональных данных) Перечень действий Сбор, запись, систематизация, накопление, хранение, уточнение, (операций) извлечение, использование, удаление, уничтожение Способы обработки Автоматизированная; сеть «Интернет» Носители Электронная форма заявки на сайте; запись в информационной персональных данных системе Оператора; переписка по электронной почте Места хранения Серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO); корпоративная почтовая система Оператора Получатели Провайдер серверной инфраструктуры (центра обработки персональных данных данных); Провайдер сервиса доставки электронной почты (SMTP), расположенного на территории Российской Федерации; Провайдер корпоративных офисных и почтовых сервисов Срок хранения 1 (один) год с момента поступления заявки; в случае заключения договора — 5 (пять) лет с момента прекращения договорных отношений (Гражданский кодекс Российской Федерации, ст. 196) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 3. Обеспечение работоспособности, доступности и безопасности Сервиса Обеспечение бесперебойного функционирования сайта и Сервиса, поддержание сессии Пользователя, защита от несанкционированного доступа и автоматизированных атак, выявление, предотвращение и расследование инцидентов информационной безопасности, уведомление уполномоченных органов об инцидентах Категории субъектов Посетители сайта; Пользователи Сервиса Категории IP-адрес; идентификаторы файлов cookie и записей локального персональных данных хранилища браузера (localStorage, sessionStorage); идентификатор сессии и токен доступа; сведения о браузере и устройстве (user-agent); дата, время и содержание обращений к Сервису; история действий в учётной записи

Правовое основание Пункт 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (исполнение договора); пункт 7 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (осуществление прав и законных интересов Оператора); статья 21.1 Федерального закона от 27.07.2006 № 152-ФЗ; для технологий, не являющихся строго необходимыми, — согласие субъекта персональных данных Перечень действий Сбор, запись, систематизация, накопление, хранение, (операций) извлечение, использование, обезличивание, передача (предоставление), удаление, уничтожение Способы обработки Автоматизированная; сеть «Интернет» Носители Файлы cookie и записи локального хранилища браузера персональных данных (электронные); журналы (логи) серверов и приложений; акт о выявлении инцидента; материалы расследования; журнал учёта инцидентов информационной безопасности; уведомление уполномоченного органа об инциденте Места хранения Серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Провайдер серверной инфраструктуры (центра обработки персональных данных данных); Роскомнадзор (при инциденте); ФСБ России (при инциденте) Срок хранения Журналы (логи) — 1 (один) год; материалы расследования инцидентов — 3 (три) года; файлы cookie и записи локального хранилища — в течение срока, установленного для соответствующего идентификатора, но не более 1 (одного) года ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 4. Информирование Пользователей Направление сервисных (транзакционных) сообщений, связанных с работой учётной записи и Сервиса, а также — при наличии отдельного согласия — информационных и рекламных сообщений Категории субъектов Пользователи Сервиса; лица, направившие заявку через сайт Оператора Категории Адрес электронной почты; имя (отображаемое имя); персональных данных идентификатор учётной записи; сведения о факте и статусе доставки сообщения Правовое основание Для сервисных сообщений — пункт 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (исполнение договора). Для информационных и рекламных сообщений — часть 1 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ

(согласие субъекта персональных данных) и часть 1 статьи 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» Перечень действий Сбор, запись, систематизация, накопление, хранение, (операций) извлечение, использование, передача (предоставление), удаление, уничтожение Способы обработки Автоматизированная; сеть «Интернет» Носители Запись в информационной системе Оператора; согласие на персональных данных получение рекламных сообщений в электронной форме; журнал отправки сообщений Места хранения Серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Провайдер серверной инфраструктуры (центра обработки персональных данных данных); Провайдер сервиса доставки электронной почты (SMTP), расположенного на территории Российской Федерации Срок хранения Сервисные сообщения — в течение срока действия учётной записи; рекламные сообщения — до отзыва согласия субъектом персональных данных ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 5. Функционирование ИИ-помощника Предоставление Пользователю функции интеллектуального помощника в редакторе документов: формирование ответа на запрос Пользователя с использованием языковой модели, предоставляемой сторонним поставщиком Категории субъектов Пользователи Сервиса Категории Текст запроса Пользователя; фрагмент редактируемого персональных данных документа, передаваемый в качестве контекста запроса; идентификатор учётной записи; дата и время обращения Правовое основание Пункт 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (исполнение договора); часть 1 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ (согласие субъекта персональных данных) Перечень действий Сбор, запись, хранение, извлечение, использование, передача (операций) (предоставление), удаление, уничтожение Способы обработки Автоматизированная; сеть «Интернет» Носители Запись обращения к ИИ-помощнику в информационной системе персональных данных Оператора; журнал обращений

Места хранения Серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Поставщик доступа к языковым моделям (ИИ-сервис); персональных данных Провайдер серверной инфраструктуры (центра обработки данных) Срок хранения Журнал обращений — 1 (один) год ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 6. Кадровый учёт и трудовые отношения Осуществление кадрового учёта, обеспечение соблюдения трудового законодательства, принятие кадровых и управленческих решений в отношении работников

Категории субъектов Действующие работники Оператора; уволенные работники Оператора; родственники работников Категории Фамилия, имя, отчество (при наличии), предыдущие фамилия, персональных данных имя, отчество (если изменялись), дата и место рождения, пол, гражданство, семейное положение; реквизиты паспорта гражданина Российской Федерации, реквизиты свидетельств о рождении, о заключении (расторжении) брака, о перемене имени; ИНН, СНИЛС, регистрационный номер в СФР; адрес регистрации и адрес фактического проживания, номера телефонов, адреса электронной почты; уровень образования и реквизиты документов об образовании, сведения о повышении квалификации и профессиональной переподготовке; должность, реквизиты трудового договора, даты приёма и увольнения, сведения о трудовом стаже и предыдущих местах работы; режим и график работы, дистанционная работа, переводы, командировки; сведения о начисленной и выплаченной заработной плате, премиях и надбавках, банковские реквизиты (наименование банка, номер счёта, БИК); фотография для документов Правовое основание Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ (ст. 65, 66, 66.1, 86–90); договор с субъектом персональных данных; согласие субъекта персональных данных Перечень действий Сбор, запись, систематизация, накопление, хранение, уточнение, (операций) извлечение, использование, передача (предоставление), блокирование, удаление, уничтожение Способы обработки Смешанная; локальная вычислительная сеть; сеть «Интернет» Носители Трудовой договор; личная карточка работника; приказы по персональных данных личному составу; штатное расписание; график отпусков; должностная инструкция; заявления работников;

дополнительные соглашения; согласие на обработку персональных данных; копия паспорта гражданина Российской Федерации; личное дело работника Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора; серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Социальный фонд России (СФР); Государственная инспекция персональных данных труда; Росстат; Центр занятости населения; Провайдер серверной инфраструктуры (центра обработки данных); Провайдер корпоративных офисных и почтовых сервисов Срок хранения 50 лет (Приказ Росархива от 20.12.2019 № 236, п. 434–445; Трудовой кодекс Российской Федерации, ч. 3 ст. 86) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 7. Бухгалтерский учёт и расчёты с персоналом Ведение бухгалтерского и налогового учёта, исчисление и уплата налогов и страховых взносов, расчёт и выплата заработной платы, предоставление налоговой и статистической отчётности Категории субъектов Действующие и уволенные работники Оператора; родственники работников Категории Фамилия, имя, отчество (при наличии), дата рождения; ИНН, персональных данных СНИЛС, регистрационный номер в СФР; сведения о начисленной и выплаченной заработной плате, о премиях и надбавках, о доходах; банковские реквизиты (наименование банка, номер счёта, БИК); сведения о налоговых вычетах и лицах, дающих право на их получение Правовое основание Налоговый кодекс Российской Федерации (часть вторая) от 05.08.2000 № 117-ФЗ (ст. 24, 226, 230); Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте» (ст. 9, 29); Федеральный закон от 01.04.1996 № 27-ФЗ (ст. 8, 11) Перечень действий Сбор, запись, систематизация, накопление, хранение, уточнение, (операций) извлечение, использование, передача (предоставление), уничтожение Способы обработки Смешанная; локальная вычислительная сеть; сеть «Интернет» Носители Табель учёта рабочего времени; расчётные и платёжные персональных данных ведомости; лицевой счёт; записки-расчёты; справки о доходах; форма ЕФС-1; авансовые отчёты; заявление на выпуск зарплатной карты

Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора Получатели Федеральная налоговая служба; Социальный фонд России персональных данных (СФР); Банк (зарплатный проект) Срок хранения 5 (пять) лет — первичные учётные документы; 50 лет — лицевые счета (Налоговый кодекс Российской Федерации, п. 8 ч. 1 ст. 23; Приказ Росархива от 20.12.2019 № 236, п. 277, 296) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 8. Охрана труда Обеспечение безопасных условий труда, проведение инструктажей и обучения по охране труда, проведение специальной оценки условий труда, расследование несчастных случаев на производстве

Категории субъектов Действующие работники Оператора Категории Фамилия, имя, отчество (при наличии), дата рождения, пол; персональных данных должность, реквизиты трудового договора, дата приёма на работу; сведения о прохождении инструктажей и проверки знаний требований охраны труда; результат обязательного медицинского осмотра (заключение о годности) — в случаях, предусмотренных законодательством Правовое основание Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ (ст. 214–220); Федеральный закон от 28.12.2013 № 426-ФЗ «О специальной оценке условий труда» (ст. 3, 8, 15) Перечень действий Сбор, запись, систематизация, хранение, извлечение, (операций) использование, уничтожение Способы обработки Смешанная; локальная вычислительная сеть Носители Журнал вводного инструктажа; журналы периодических персональных данных инструктажей; протокол проверки знаний требований охраны труда; карта специальной оценки условий труда; акт расследования несчастного случая Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора Получатели Государственная инспекция труда; организация, проводящая персональных данных специальную оценку условий труда Срок хранения 45 лет — материалы специальной оценки условий труда; 5 (пять) лет — журналы инструктажей (Приказ Росархива от 20.12.2019 № 236, п. 407–408, 423–428) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости

Трансграничная Не осуществляется передача

Цель обработки № 9. Воинский учёт Ведение воинского учёта граждан, пребывающих в запасе, и граждан, подлежащих призыву на военную службу, представление сведений в военный комиссариат

Категории субъектов Действующие работники Оператора Категории Фамилия, имя, отчество (при наличии), дата и место рождения, персональных данных пол, гражданство, семейное положение; категория годности к военной службе, военно-учётная специальность, воинское звание, состав (профиль), номер военного билета либо удостоверения гражданина, подлежащего призыву Правовое основание Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе» (ст. 8); Постановление Правительства Российской Федерации от 27.11.2006 № 719 «Об утверждении Положения о воинском учёте» (п. 27–34) Перечень действий Сбор, запись, систематизация, хранение, уточнение, извлечение, (операций) использование, передача (предоставление), уничтожение Способы обработки Смешанная; локальная вычислительная сеть; сеть «Интернет» Носители Копия военного билета либо удостоверения гражданина, персональных данных подлежащего призыву; карточка гражданина, подлежащего воинскому учёту (форма № 10); списки граждан, пребывающих в запасе Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора Получатели Военный комиссариат персональных данных Срок хранения 5 (пять) лет (Приказ Росархива от 20.12.2019 № 236, п. 463; Постановление Правительства Российской Федерации от 27.11.2006 № 719, п. 35) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 10. Подбор персонала Поиск, оценка и подбор кандидатов на замещение вакантных должностей у Оператора, ведение кадрового резерва Категории субъектов Соискатели вакантных должностей Категории Фамилия, имя, отчество (при наличии), дата рождения; номер персональных данных телефона, адрес электронной почты, город проживания; уровень образования и реквизиты документов об образовании, сведения о

повышении квалификации; сведения об опыте работы, желаемая должность, ожидаемый уровень оплаты труда, рекомендации, результат собеседования Правовое основание Часть 1 статьи 9 Федерального закона от 27.07.2006 № 152-ФЗ (согласие субъекта персональных данных); Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ (ст. 86) Перечень действий Сбор, запись, систематизация, хранение, извлечение, (операций) использование, удаление, уничтожение Способы обработки Смешанная; локальная вычислительная сеть; сеть «Интернет» Носители Резюме; анкета кандидата; согласие соискателя на обработку персональных данных персональных данных; рекомендательные письма; записи по результатам собеседований Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора; серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Сервис (портал) по поиску работы — в объёме, размещаемом персональных данных Оператором в вакансии Срок хранения До завершения подбора на соответствующую вакансию и 30 (тридцать) дней после его завершения; при согласии на включение в кадровый резерв — до отзыва согласия (Федеральный закон от 27.07.2006 № 152-ФЗ, ч. 4 ст. 21) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 11. Договорные отношения с контрагентами Заключение, исполнение и прекращение договоров с организациями-контрагентами, индивидуальными предпринимателями и лицами, применяющими специальный налоговый режим, ведение деловой переписки и расчётов Категории субъектов Представители организаций-контрагентов; индивидуальные предприниматели и лица, применяющие специальный налоговый режим «Налог на профессиональный доход» Категории Фамилия, имя, отчество (при наличии); должность и персональных данных наименование представляемой организации; реквизиты доверенности (номер, дата, срок действия); номер телефона, адрес электронной почты; для индивидуальных предпринимателей и самозанятых — ИНН, ОГРНИП, адрес регистрации, банковские реквизиты, реквизиты паспорта (в объёме, необходимом для заключения договора)

Правовое основание Пункт 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (исполнение договора); пункт 7 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (осуществление законных интересов Оператора); Гражданский кодекс Российской Федерации (гл. 27–29) Перечень действий Сбор, запись, систематизация, накопление, хранение, уточнение, (операций) извлечение, использование, передача (предоставление), удаление, уничтожение Способы обработки Смешанная; локальная вычислительная сеть; сеть «Интернет» Носители Договор с контрагентом; акт сдачи-приёмки; счёт, счёт-фактура, персональных данных универсальный передаточный документ; карточка контрагента; выписка из ЕГРЮЛ (ЕГРИП); доверенность; деловая переписка Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора; серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Федеральная налоговая служба; Банк; Провайдер корпоративных персональных данных офисных и почтовых сервисов; Организация, оказывающая юридические услуги (при необходимости) Срок хранения 5 (пять) лет с момента прекращения договорных отношений (Приказ Росархива от 20.12.2019 № 236, п. 277; Гражданский кодекс Российской Федерации, ст. 196) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 12. Рассмотрение обращений и претензий Пользователей Приём и рассмотрение обращений, жалоб и претензий Пользователей и контрагентов, досудебное урегулирование споров Категории субъектов Пользователи Сервиса; представители организаций-контрагентов; лица, направившие заявку через сайт Оператора Категории Фамилия, имя, отчество (при наличии); адрес электронной персональных данных почты, номер телефона; идентификатор учётной записи; содержание обращения и приложенные к нему материалы; сведения о результатах рассмотрения Правовое основание Пункт 5 части 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ (исполнение договора); Гражданский кодекс Российской Федерации; Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей» (ст. 18–26) — в отношении субъектов, приобретающих услуги для личных нужд

Перечень действий Сбор, запись, систематизация, хранение, извлечение, (операций) использование, удаление, уничтожение Способы обработки Смешанная; сеть «Интернет» Носители Обращение (претензия) Пользователя; ответ на обращение; персональных данных журнал регистрации обращений Места хранения Серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO); рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора Получатели Не передаются, за исключением случаев, предусмотренных персональных данных законодательством Российской Федерации Срок хранения 5 (пять) лет (Гражданский кодекс Российской Федерации, ст. 196; Приказ Росархива от 20.12.2019 № 236, п. 161) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 13. Реализация прав субъектов персональных данных Обеспечение реализации прав субъектов персональных данных: предоставление информации об обработке, уточнение, блокирование, удаление и уничтожение персональных данных, обработка отзывов согласия Категории субъектов Все категории субъектов персональных данных, указанные в разделе 3 настоящей Политики Категории Фамилия, имя, отчество (при наличии); сведения, персональных данных подтверждающие участие субъекта в отношениях с Оператором либо иным образом подтверждающие факт обработки его персональных данных; контактные данные для направления ответа; содержание запроса Правовое основание Статьи 14–17, 20, 21 Федерального закона от 27.07.2006 № 152-ФЗ Перечень действий Сбор, запись, систематизация, хранение, извлечение, (операций) использование, блокирование, удаление, уничтожение Способы обработки Смешанная; сеть «Интернет» Носители Запрос (обращение) субъекта персональных данных; ответ на персональных данных запрос; журнал учёта обращений субъектов персональных данных; заявление об отзыве согласия; акт об уничтожении персональных данных; выгрузка из журнала регистрации событий в информационной системе Места хранения Серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД

MongoDB, объектное хранилище MinIO); рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора Получатели Субъект персональных данных (заявитель) либо его персональных данных представитель Срок хранения 3 (три) года с даты рассмотрения обращения (Федеральный закон от 27.07.2006 № 152-ФЗ, ч. 4 ст. 20; Гражданский кодекс Российской Федерации, ст. 196) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 14. Взаимодействие с государственными органами Подготовка ответов на запросы Роскомнадзора, прокуратуры, судов, органов внутренних дел и иных уполномоченных государственных органов, направление уведомлений, предусмотренных законодательством о персональных данных Категории субъектов Все категории субъектов персональных данных, указанные в разделе 3 настоящей Политики Категории Персональные данные в объёме, указанном в запросе персональных данных уполномоченного государственного органа либо необходимом для исполнения обязанности, установленной законодательством Российской Федерации Правовое основание Пункт 2 части 1 статьи 6 и статья 23 Федерального закона от 27.07.2006 № 152-ФЗ; иные федеральные законы, устанавливающие обязанность предоставления сведений Перечень действий Сбор, хранение, извлечение, использование, передача (операций) (предоставление) Способы обработки Смешанная; сеть «Интернет» Носители Запрос государственного органа; ответ на запрос; копии персональных данных предоставленных документов; журнал учёта запросов Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора; серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Роскомнадзор; суды, прокуратура, следственные органы, органы персональных данных внутренних дел; ФСБ России; иные уполномоченные государственные органы Срок хранения 5 (пять) лет (Приказ Росархива от 20.12.2019 № 236, п. 161) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости

Трансграничная Не осуществляется передача

Цель обработки № 15. Исполнение судебных актов и требований органов принудительного исполнения Исполнение судебных актов и постановлений судебного пристава-исполнителя, производство удержаний из заработной платы работников по исполнительным документам

Категории субъектов Действующие и уволенные работники Оператора Категории Фамилия, имя, отчество (при наличии), дата рождения; сведения персональных данных о начисленной и выплаченной заработной плате; номер и дата исполнительного документа, сумма удержания, реквизиты получателя Правовое основание Федеральный закон от 02.10.2007 № 229-ФЗ «Об исполнительном производстве» (гл. 11); Семейный кодекс Российской Федерации от 29.12.1995 № 223-ФЗ (гл. 17) Перечень действий Сбор, хранение, извлечение, использование, передача (операций) (предоставление), уничтожение Способы обработки Смешанная; локальная вычислительная сеть Носители Копия исполнительного документа; постановление об персональных данных обращении взыскания; соглашение об уплате алиментов Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора Получатели Федеральная служба судебных приставов; взыскатель (в части персональных данных перечисления удержанных сумм) Срок хранения 5 (пять) лет (Приказ Росархива от 20.12.2019 № 236, п. 451) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

Цель обработки № 16. Архивное хранение документов Хранение документов, содержащих персональные данные, в течение сроков, установленных законодательством Российской Федерации об архивном деле, о бухгалтерском учёте, налоговым и трудовым законодательством Категории субъектов Действующие и уволенные работники Оператора; представители организаций-контрагентов Категории Персональные данные в составе, указанном для целей обработки персональных данных № 6, 7, 11 настоящего раздела Правовое основание Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» (ст. 17, 22.1); Приказ Росархива от 20.12.2019 № 236

Перечень действий Хранение, извлечение (по запросу), уничтожение по истечении (операций) срока хранения Способы обработки Смешанная; локальная вычислительная сеть Носители Документы по личному составу; бухгалтерские и расчётные персональных данных документы; договоры с контрагентами Места хранения Рабочее место руководителя по месту нахождения Оператора; запираемый шкаф (сейф) по месту нахождения Оператора; серверная инфраструктура Оператора в арендуемом центре обработки данных на территории Российской Федерации (СУБД MongoDB, объектное хранилище MinIO) Получатели Не передаются, за исключением случаев, предусмотренных персональных данных законодательством Российской Федерации Срок хранения 50 лет — документы по личному составу, созданные после 2003 года; иные сроки — согласно Приказу Росархива от 20.12.2019 № 236 (Федеральный закон от 22.10.2004 № 125-ФЗ, ч. 1 ст. 22.1) ИСПДн и уровень ИСПДн «ГеоБа». Уровень защищённости — УЗ-3 защищённости Трансграничная Не осуществляется передача

4.4. Реквизиты банковских карт и иные платёжные реквизиты физических лиц Оператором не собираются и не хранятся. В случае подключения приёма платежей Оператор до начала соответствующей обработки вносит в настоящую Политику сведения о платёжном агенте (кредитной организации), составе передаваемых ему персональных данных и правовом основании такой передачи. 4.5. Номер телефона Пользователя в составе учётной записи Сервиса не собирается. Номер телефона обрабатывается Оператором только в случае, если субъект персональных данных указал его самостоятельно в заявке, обращении или договоре.

5.1. Сервис предоставляет Пользователю технические средства для размещения, хранения, обработки и формирования документов. Состав сведений, вносимых в пользовательский контент, определяется Пользователем самостоятельно. Оператор не инициирует и не определяет состав таких сведений, не использует их в собственных целях и не осуществляет их анализ, за исключением технических операций, необходимых для функционирования Сервиса (хранение, индексация, резервное копирование, отображение Пользователю и лицам, которым Пользователь предоставил доступ). 5.2. Если пользовательский контент содержит персональные данные третьих лиц, оператором таких персональных данных является лицо, в интересах и по поручению которого действует Пользователь (юридическое лицо, индивидуальный предприниматель либо сам Пользователь). Оператор в отношении указанных персональных данных выступает лицом, осуществляющим обработку персональных данных по поручению оператора на основании договора (оферты), заключаемого при регистрации в Сервисе.

5.3. Условия поручения обработки персональных данных, включая перечень действий (операций) с персональными данными, цели их совершения, обязанность соблюдения конфиденциальности и обеспечения безопасности персональных данных при их обработке, а также требования к защите обрабатываемых персональных данных в соответствии со статьёй 19 Федерального закона № 152-ФЗ, определены в договоре (оферте), размещённом на сайте Оператора. 5.4. Оператор при обработке персональных данных по поручению: — осуществляет обработку исключительно в пределах, определённых поручением, и не вправе обрабатывать такие персональные данные в собственных целях; — соблюдает конфиденциальность персональных данных и обеспечивает их безопасность в соответствии с требованиями статьи 19 Федерального закона № 152-ФЗ; — не обязан получать согласие субъекта персональных данных на обработку (часть 3 статьи 6 Федерального закона № 152-ФЗ); — несёт ответственность перед оператором, поручившим обработку; ответственность перед субъектом персональных данных за действия Оператора несёт оператор, поручивший обработку; — по требованию оператора, поручившего обработку, прекращает обработку, возвращает и (или) уничтожает персональные данные и предоставляет подтверждение уничтожения. 5.5. Запросы субъектов персональных данных, касающиеся персональных данных, содержащихся в пользовательском контенте, Оператор в течение 3 (трёх) рабочих дней перенаправляет соответствующему оператору (Пользователю либо представляемому им лицу) и уведомляет об этом заявителя. Самостоятельно предоставлять доступ к пользовательскому контенту, изменять или удалять его по обращению третьего лица Оператор не вправе. 5.6. Оператор ведёт учёт лиц, которым он поручает обработку персональных данных, и лиц, по поручению которых он осуществляет обработку, а также отражает соответствующие сведения в уведомлении об обработке персональных данных, направляемом в Роскомнадзор. 5.7. Обязанность по получению согласий субъектов персональных данных, чьи персональные данные вносятся в пользовательский контент, по определению правовых оснований обработки и по уведомлению Роскомнадзора об обработке возлагается на оператора, поручившего обработку. Оператор доводит указанное условие до Пользователя в договоре (оферте).

6.1. Обработка персональных данных Оператором осуществляется на основе следующих принципов: — обработка персональных данных осуществляется на законной и справедливой основе; — обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка персональных данных, несовместимая с целями сбора персональных данных; — не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

— обработке подлежат только те персональные данные, которые отвечают целям их обработки; содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки и не являются избыточными по отношению к ним; — при обработке персональных данных обеспечиваются их точность, достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям обработки; — хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором; — обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом. 6.2. Обработка персональных данных осуществляется Оператором с соблюдением конфиденциальности персональных данных. Работники Оператора и иные лица, получившие доступ к персональным данным, обязуются не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных или наличия иного законного основания. 6.3. Передача персональных данных третьим лицам осуществляется Оператором только на основании договора или закона. Договор, на основании которого персональные данные передаются, должен содержать положение об обязанности лица, получающего персональные данные, соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке. 6.4. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. В договоре Оператор обязывает такое лицо соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом № 152-ФЗ, определяет перечень действий (операций) с персональными данными, цели обработки, устанавливает обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных, а также требования к защите обрабатываемых персональных данных в соответствии со статьёй 19 Федерального закона № 152-ФЗ. 6.5. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных (статья 16 Федерального закона № 152-ФЗ). Результаты работы ИИ-помощника носят вспомогательный (рекомендательный) характер и не влекут таких последствий. 6.6. Трансграничная передача персональных данных Оператором не осуществляется. В случае возникновения необходимости трансграничной передачи Оператор до её начала уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу персональных данных в порядке, установленном частями 3–5 статьи 12 Федерального закона № 152-ФЗ, получает от иностранного получателя сведения, предусмотренные частью 4 указанной статьи, и вносит соответствующие изменения в настоящую Политику.

7.1. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Федерального закона № 152-ФЗ). 7.2. Первичная запись персональных данных, поступающих через Сервис и сайт Оператора, производится в базы данных, размещённые на серверной инфраструктуре Оператора в арендуемом центре обработки данных на территории Российской Федерации. Применяемые Оператором технологии хранения: — документоориентированная система управления базами данных MongoDB — учётные записи, заявки, обращения, служебные записи; — объектное хранилище MinIO — файлы, загружаемые и формируемые Пользователями; — файловая система серверов Оператора — журналы (логи) приложений и серверов, резервные копии. 7.3. Резервные копии баз данных и файлового хранилища размещаются на территории Российской Федерации. 7.4. Доставка сообщений электронной почты осуществляется через сервис отправки электронной почты, размещённый на территории Российской Федерации. 7.5. Документы на материальных (бумажных) носителях хранятся по месту нахождения Оператора в запираемых шкафах (сейфах), доступ к которым имеют только лица, допущенные к обработке персональных данных. 7.6. Перечень мест хранения персональных данных, а также перечень лиц, допущенных к обработке персональных данных, определяются отдельными приказами Оператора.

8.1. При использовании сайта и Сервиса Оператор применяет технологии, обеспечивающие идентификацию сессии Пользователя и сохранение его настроек: файлы cookie, записи локального хранилища браузера (localStorage, sessionStorage), токены доступа, а также иные аналогичные технологии. Конкретный набор применяемых технологий может изменяться по мере развития Сервиса; настоящая Политика применяется к любым из них. 8.2. Применяемые технологии разделяются на две группы: — строго необходимые — обеспечивают вход в учётную запись, поддержание сессии, сохранение настроек интерфейса, защиту от несанкционированного доступа и автоматизированных атак. Их обработка осуществляется на основании пункта 5 части 1 статьи 6 Федерального закона № 152-ФЗ (исполнение договора) и пункта 7 части 1 статьи 6 Федерального закона № 152-ФЗ (осуществление законных интересов Оператора). Отказ от них делает использование Сервиса невозможным; — необязательные — статистические, аналитические и рекламные технологии. Их применение осуществляется исключительно с согласия субъекта персональных данных, выражаемого посредством соответствующего элемента интерфейса. На дату утверждения

настоящей Политики Оператор системы веб-аналитики и рекламные технологии не использует. 8.3. Субъект персональных данных вправе в любой момент удалить сохранённые файлы cookie и данные локального хранилища средствами своего браузера, а также ограничить их сохранение в настройках браузера. Оператор не несёт ответственности за некорректную работу Сервиса, вызванную такими ограничениями. 8.4. Оператор ведёт журналы (логи) обращений к Сервису, содержащие IP-адрес, дату и время обращения, сведения о браузере и устройстве, идентификатор учётной записи и сведения о совершённых действиях. Журналы используются исключительно для обеспечения работоспособности и безопасности Сервиса, расследования инцидентов и подтверждения совершения юридически значимых действий Пользователя. 8.5. Сервис предоставляет функцию формирования ссылок для просмотра проекта или документа. Решение о создании такой ссылки и о круге лиц, которым она передаётся, принимается Пользователем самостоятельно; Оператор не определяет состав сведений, доступных по ссылке. Оператор обеспечивает возможность отзыва (аннулирования) ранее созданной ссылки Пользователем, а также применяет технические меры, исключающие индексацию содержимого таких ссылок поисковыми системами. Пользователь обязан не передавать ссылки лицам, не имеющим права на доступ к соответствующим сведениям.

9.1. Сервис включает функцию ИИ-помощника, обеспечивающую формирование ответов и подсказок в редакторе документов с использованием больших языковых моделей. Использование ИИ-помощника является добровольным: функция активируется Пользователем по собственной инициативе. 9.2. Для обработки запросов Оператор привлекает поставщика доступа к языковым моделям, действующего на территории Российской Федерации и предоставляющего программный интерфейс, совместимый со стандартом OpenAI API. Отношения с указанным поставщиком оформлены договором, содержащим условия поручения обработки персональных данных в соответствии с частью 3 статьи 6 Федерального закона № 152-ФЗ. 9.3. В адрес поставщика передаются текст запроса Пользователя и связанный с запросом фрагмент редактируемого документа, необходимый для формирования ответа. Иные сведения, содержащиеся в учётной записи Пользователя и в его проектах, не передаются. 9.4. Пользователю не следует включать в запросы к ИИ-помощнику персональные данные третьих лиц, а также сведения, составляющие охраняемую законом тайну. Соответствующее предупреждение отображается в интерфейсе ИИ-помощника. Оператор применяет технические и организационные меры, направленные на ограничение объёма сведений, передаваемых поставщику, минимально необходимым для формирования ответа. 9.5. Трансграничная передача персональных данных при использовании ИИ-помощника не осуществляется. В случае привлечения поставщика, осуществляющего обработку за пределами территории Российской Федерации, Оператор до начала такой передачи выполняет требования статьи 12 Федерального закона № 152-ФЗ, включая направление в Роскомнадзор уведомления о намерении осуществлять трансграничную передачу персональных данных, и вносит изменения в настоящую Политику.

9.6. Оператор обеспечивает возможность отключения функции ИИ-помощника на уровне учётной записи по заявлению Пользователя.

10.1. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных. 10.2. Для информационной системы персональных данных Оператора определены актуальные угрозы безопасности персональных данных 3-го типа (угрозы, не связанные с наличием недекларированных возможностей в системном и прикладном программном обеспечении). Установлен 3-й уровень защищённости персональных данных (УЗ-3) в соответствии с Постановлением Правительства Российской Федерации от 01.11.2012 № 1119. 10.3. Оператором реализованы, в частности, следующие меры: — назначены ответственный за организацию обработки персональных данных и ответственный за обеспечение безопасности персональных данных; — изданы локальные нормативные акты, определяющие политику Оператора в отношении обработки персональных данных, порядок доступа к персональным данным и порядок реагирования на инциденты; — определён перечень лиц, доступ которых к персональным данным необходим для выполнения служебных обязанностей; доступ предоставляется по принципу наименьших привилегий; — применяются персональные учётные записи, разграничение прав доступа и парольная политика; пароли Пользователей хранятся исключительно в виде необратимого хэша и Оператору в открытом виде не известны; — защита каналов связи при доступе к Сервису обеспечивается протоколом TLS; — обеспечивается регистрация и учёт действий, совершаемых с персональными данными в информационной системе (журналирование); — применяются средства антивирусной защиты и средства обнаружения попыток несанкционированного доступа; — осуществляется резервное копирование баз данных и файлового хранилища, обеспечивающее восстановление персональных данных; — осуществляется учёт машинных носителей персональных данных; — обеспечивается ограничение физического доступа к рабочим местам и к материальным носителям персональных данных; — проводится оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения Федерального закона № 152-ФЗ (часть 5 статьи 18.1 Федерального закона № 152-ФЗ); — осуществляется внутренний контроль соответствия обработки персональных данных требованиям законодательства и локальных актов Оператора; — работники, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства о персональных данных и локальными

актами Оператора. 10.4. Оператор применяет средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия. Средства криптографической защиты информации применяются Оператором для формирования и проверки усиленной квалифицированной электронной подписи при взаимодействии с государственными органами и контрагентами. 10.5. Оператор осуществляет оценку эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных, а также при внесении в неё существенных изменений. 10.6. Оператор прошёл добровольную сертификацию системы менеджмента качества применительно к обработке и защите персональных данных на соответствие ГОСТ Р 59407-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Базовая архитектура защиты персональных данных». Поддержание соответствия подтверждается прохождением инспекционного контроля не реже одного раза в год.

11.1. Субъект персональных данных имеет право: — на получение информации, касающейся обработки его персональных данных, в объёме, предусмотренном частью 7 статьи 14 Федерального закона № 152-ФЗ, а также на ознакомление с обрабатываемыми персональными данными; — требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки; — отозвать согласие на обработку персональных данных; — возражать против обработки персональных данных в целях продвижения товаров, работ, услуг на рынке; — на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда в судебном порядке; — обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке. 11.2. Для реализации своих прав субъект персональных данных либо его представитель направляет Оператору запрос: — на адрес электронной почты privacy@geoba.ru; — почтовым отправлением по адресу: 625000, Тюменская область, г. Тюмень, ул. Ялуторовская, д. 27, помещ. 1, помещ. 3; — через личный кабинет Сервиса — в части сведений, доступных Пользователю самостоятельно. 11.3. Запрос должен содержать сведения, предусмотренные частью 3 статьи 14 Федерального закона № 152-ФЗ: номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта

персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью в соответствии с законодательством Российской Федерации. 11.4. Пользователь вправе в любой момент самостоятельно изменить сведения своей учётной записи и инициировать её удаление средствами Сервиса. Удаление учётной записи влечёт прекращение обработки персональных данных Пользователя, за исключением сведений, хранение которых требуется в силу закона либо для защиты прав и законных интересов Оператора. 11.5. Отзыв согласия на обработку персональных данных направляется способами, указанными в пункте 11.2 настоящей Политики. Отзыв согласия не влечёт прекращения обработки, осуществляемой на иных правовых основаниях, предусмотренных частями 1 и 2 статьи 6, частью 2 статьи 10 и частью 2 статьи 11 Федерального закона № 152-ФЗ. 11.6. Запросы, касающиеся персональных данных, содержащихся в пользовательском контенте, рассматриваются в порядке, установленном пунктом 5.5 настоящей Политики.

12.1. При обращении либо получении запроса субъекта персональных данных или его представителя Оператор предоставляет информацию, касающуюся обработки персональных данных данного субъекта, в течение 10 (десяти) рабочих дней с даты обращения или получения запроса. Указанный срок может быть продлён, но не более чем на 5 (пять) рабочих дней, при условии направления Оператором мотивированного уведомления с указанием причин продления. 12.2. Оператор обязан безвозмездно предоставить субъекту персональных данных или его представителю возможность ознакомления с персональными данными, относящимися к этому субъекту. 12.3. В случае выявления неточных персональных данных при обращении субъекта персональных данных или его представителя либо по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту, с момента такого обращения или получения запроса на период проверки, если блокирование не нарушает права и законные интересы субъекта персональных данных или третьих лиц. 12.4. В случае подтверждения факта неточности персональных данных Оператор уточняет персональные данные в течение 7 (семи) рабочих дней со дня представления сведений и снимает блокирование персональных данных. 12.5. В срок, не превышающий 7 (семи) рабочих дней со дня представления сведений, подтверждающих, что персональные данные являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор уничтожает такие персональные данные. 12.6. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий 3 (трёх) рабочих дней с даты выявления, прекращает неправомерную обработку. Если обеспечить правомерность обработки невозможно, Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления,

уничтожает такие персональные данные. 12.7. В случае достижения цели обработки персональных данных Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты достижения цели, если иное не предусмотрено договором, стороной которого является субъект персональных данных, либо иным соглашением между Оператором и субъектом персональных данных. 12.8. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор прекращает их обработку и, если сохранение персональных данных более не требуется для целей обработки, уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва. 12.9. Уничтожение персональных данных осуществляется комиссией, назначаемой приказом руководителя Оператора, с составлением акта об уничтожении персональных данных. Подтверждение уничтожения персональных данных оформляется в соответствии с требованиями, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179: при автоматизированной обработке — актом об уничтожении и выгрузкой из журнала регистрации событий в информационной системе, при обработке без использования средств автоматизации — актом об уничтожении. Материальные носители на бумажной основе уничтожаются путём измельчения (шредирования), электронные носители — путём гарантированного удаления информации. 12.10. Акты об уничтожении персональных данных и выгрузки из журнала регистрации событий хранятся Оператором в течение 3 (трёх) лет с момента уничтожения соответствующих персональных данных. 12.11. Оператор уведомляет субъекта персональных данных или его представителя о внесённых изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы.

13.1. При установлении факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор в соответствии с частью 3.1 статьи 21 Федерального закона № 152-ФЗ обязан уведомить Роскомнадзор: — в течение 24 (двадцати четырёх) часов с момента выявления инцидента — о произошедшем инциденте, предполагаемых причинах и предполагаемом вреде, нанесённом правам субъектов персональных данных, о принятых мерах по устранению последствий, а также о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с инцидентом; — в течение 72 (семидесяти двух) часов с момента выявления инцидента — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при наличии). 13.2. Оператор обеспечивает взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации (ГосСОПКА) в случаях и порядке, установленных законодательством Российской Федерации. 13.3. Оператор ведёт журнал учёта инцидентов информационной безопасности. По каждому инциденту составляется акт о выявлении инцидента и проводится внутреннее расследование.

13.4. При обработке персональных данных по поручению (раздел 5 настоящей Политики) Оператор незамедлительно, но не позднее 12 (двенадцати) часов с момента выявления инцидента, уведомляет оператора, поручившего обработку, о произошедшем инциденте и оказывает содействие в исполнении им обязанностей, предусмотренных статьёй 21.1 Федерального закона № 152-ФЗ.

14.1. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут материальную, дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном федеральными законами. 14.2. Моральный вред, причинённый субъекту персональных данных вследствие нарушения его прав, нарушения правил обработки персональных данных, а также несоблюдения требований к защите персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации. Возмещение морального вреда осуществляется независимо от возмещения имущественного вреда и понесённых субъектом персональных данных убытков. 14.3. Ответственность за организацию обработки персональных данных и за обеспечение их безопасности у Оператора возлагается на Генерального директора Денисова Михаила Андреевича. 14.4. Внутренний контроль за соблюдением законодательства Российской Федерации и локальных нормативных актов Оператора в области персональных данных, в том числе требований к защите персональных данных, осуществляется ответственным за организацию обработки персональных данных не реже одного раза в год, а также при существенном изменении процессов обработки. По результатам контроля составляется акт (отчёт). 14.5. Работники Оператора, имеющие доступ к персональным данным, несут ответственность за невыполнение требований норм, регулирующих обработку и защиту персональных данных, в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора.

15.1. Настоящая Политика является локальным нормативным актом Оператора и общедоступным документом, к которому обеспечивается неограниченный доступ. Политика размещается на сайте Оператора в информационно-телекоммуникационной сети «Интернет» по адресу https://geoba.ru в соответствии с частью 2 статьи 18.1 Федерального закона № 152-ФЗ. 15.2. Настоящая Политика подлежит пересмотру в случае изменения законодательства Российской Федерации в области персональных данных, а также при изменении состава обрабатываемых персональных данных, целей обработки, применяемых информационных систем и привлекаемых третьих лиц, но не реже одного раза в 3 (три) года. 15.3. Оператор пересматривает установленный уровень защищённости персональных данных при изменении характеристик информационной системы персональных данных, в том числе при увеличении количества субъектов персональных данных, не являющихся работниками Оператора, до 100 000 и более. 15.4. Изменения в настоящую Политику вносятся приказом руководителя Оператора. Актуальная редакция Политики с указанием даты её утверждения размещается

на сайте Оператора. Оператор уведомляет Пользователей о существенных изменениях Политики путём размещения соответствующего сообщения в Сервисе либо направления сообщения на адрес электронной почты, указанный в учётной записи. 15.5. В случае неисполнения положений настоящей Политики Оператор несёт ответственность в соответствии с законодательством Российской Федерации.