Политика в отношении обработки персональных данных

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, предпринимаемые ООО «Сирена ИТ» (далее — «Оператор»).

1.2. Оператор ставит соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, в качестве одной из важнейших своих задач.

1.3. Политика применяется ко всем персональным данным субъектов, которые обрабатываются Оператором с использованием средств автоматизации и без использования таких средств.

1.4. Политика действует в отношении персональных данных, обрабатываемых при использовании сервиса Siren, размещённого по адресу sirencall.ru (далее — «Сервис»).

1.5. Политика является общедоступным документом и подлежит размещению на официальном сайте Оператора.

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу.
• Оператор — ООО «Сирена ИТ», организующее и (или) осуществляющее обработку персональных данных, определяющее цели обработки, состав данных и совершаемые с ними действия.
• Обработка персональных данных — любое действие (операция) с персональными данными, совершаемое с использованием средств автоматизации или без таковых.
• Лицо, осуществляющее обработку по поручению Оператора — лицо, которому Оператор на основании договора поручает обработку (ч. 3 ст. 6 152-ФЗ).
• Заказчик — юридическое лицо или ИП, использующий Сервис для оценки работы своих сотрудников.
• Пользователь — физическое лицо, использующее Сервис от имени Заказчика.
• Оператор-сотрудник — работник Заказчика, телефонные разговоры которого анализируются в Сервисе на основе их текстовых расшифровок (транскриптов).

Обработка персональных данных Оператором осуществляется на основании:

• Конституции Российской Федерации;
• Гражданского кодекса Российской Федерации;
• Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• постановлений Правительства РФ и приказов уполномоченных органов (Роскомнадзор, ФСТЭК России, ФСБ России);
• договоров, заключаемых между Оператором и субъектами персональных данных (включая публичную оферту);
• согласий субъектов персональных данных на обработку их персональных данных.

При оказании услуг через Сервис Оператор обрабатывает персональные данные в двух различных статусах.

4.1. Оператор как самостоятельный оператор ПДн. В отношении Пользователей Оператор обрабатывает: имя, email, телефон, данные об организации-Заказчике, а также технические данные, необходимые для работы Сервиса (журналы входа, IP-адрес).

4.2. Оператор как лицо, обрабатывающее данные по поручению. В отношении Операторов-сотрудников Заказчика и иных лиц, чьи данные содержатся в транскриптах, Оператор действует как лицо, осуществляющее обработку по поручению Заказчика (ч. 3 ст. 6 152-ФЗ). Заказчик является самостоятельным оператором этих данных. Аудиозаписи передаются в Сервис транзитом и без сохранения направляются провайдеру распознавания речи; Оператор аудиозаписи не хранит.

Биометрические данные. Оператор не обрабатывает голос в целях установления личности и не хранит аудиозаписи длительно: они первично фиксируются в инфраструктуре Оператора в РФ и транзитом передаются провайдеру распознавания речи Mistral AI (сервис Voxtral, Франция) для преобразования в текст (трансграничная передача с уведомлением Роскомнадзора). Анализ транскриптов выполняется с использованием моделей ООО «ЯНДЕКС» (РФ). Голос не используется для биометрической идентификации, в связи с чем обработка не является обработкой биометрических персональных данных в смысле ст. 11 152-ФЗ. Ответственность за получение согласий субъектов несёт Заказчик.

4.3. Специальные категории. Оператор не обрабатывает специальные категории персональных данных, перечисленные в ст. 10 152-ФЗ (раса, национальность, политические взгляды, религиозные и философские убеждения, состояние здоровья, интимная жизнь).

Персональные данные обрабатываются в целях: предоставления доступа к функциональности Сервиса и его технической поддержки; исполнения договора между Оператором и Заказчиком; аналитики качества обслуживания клиентов Заказчика на основе транскриптов звонков; обеспечения безопасности Сервиса и предотвращения мошенничества.

Обработка персональных данных Оператором осуществляется на основе следующих принципов (ст. 5 152-ФЗ):

• обработка на законной и справедливой основе;
• ограничение обработки достижением конкретных, заранее определённых и законных целей;
• недопустимость обработки данных, несовместимой с целями сбора;
• недопустимость объединения баз данных, обработка которых осуществляется в несовместимых целях;
• обработка только тех данных, которые отвечают целям обработки;
• соответствие содержания и объёма обрабатываемых данных заявленным целям;
• обеспечение точности, достаточности и актуальности данных;
• хранение данных в форме, позволяющей определить субъекта, не дольше, чем требуют цели обработки.

Обработка персональных данных допускается в случаях, предусмотренных ст. 6 152-ФЗ, в том числе при наличии согласия субъекта либо когда обработка необходима для исполнения договора, стороной которого является субъект.

7.1. Обработка осуществляется с использованием средств автоматизации и без использования таких средств.

7.2. Сбор персональных данных осуществляется путём их предоставления субъектами при регистрации, оформлении документов, обращении в поддержку, а также путём загрузки данных Заказчиком.

7.3. Хранение персональных данных осуществляется с использованием баз данных, расположенных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ).

7.4. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, на основании исключительно автоматизированной обработки персональных данных.

7.5. Оператор осуществляет трансграничную передачу персональных данных (аудиозаписей) провайдеру распознавания речи Mistral AI (сервис Voxtral) во Французскую Республику, обеспечивающую адекватную защиту прав субъектов персональных данных, после направления уведомления в Роскомнадзор в соответствии со ст. 12 152-ФЗ. Первичная запись персональных данных производится в базах данных на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Иные подрядчики обрабатывают данные на территории РФ.

Оператор вправе поручить обработку персональных данных другим лицам на основании договора при соблюдении требований ч. 3 ст. 6 152-ФЗ. Привлекаемые лица обязуются соблюдать принципы и правила обработки и обеспечивать конфиденциальность и безопасность данных.

Оператор предоставляет персональные данные государственным органам в порядке и объёме, предусмотренных законодательством РФ. В отношении данных, обрабатываемых по поручению Заказчика, Оператор действует строго в пределах договора с Заказчиком и не определяет цели обработки самостоятельно.

Персональные данные обрабатываются не дольше, чем требуют цели обработки. Условием прекращения обработки является достижение целей, истечение срока действия согласия, отзыв согласия, выявление неправомерной обработки.

Субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в объёме ч. 7 ст. 14 152-ФЗ;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели;
• отозвать ранее данное согласие на обработку персональных данных;
• требовать устранения неправомерных действий Оператора в отношении его данных;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

Запрос направляется на адрес support@sirencall.ru либо почтой по адресу Оператора. Срок рассмотрения — 30 дней. Запрос должен содержать сведения, позволяющие идентифицировать субъекта, и обоснование требования.

Для Операторов-сотрудников Заказчика. По вопросам обработки данных, загружаемых в Сервис работодателем, субъекту следует обращаться к Заказчику как к оператору этих данных. Оператор перенаправляет такие обращения соответствующему Заказчику.

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных (ст. 18.1, ст. 19 152-ФЗ), в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• издание локальных актов по вопросам обработки и защиты персональных данных;
• применение мер по обеспечению безопасности согласно постановлению Правительства РФ от 01.11.2012 № 1119;
• определение угроз безопасности и уровня защищённости информационной системы;
• применение средств защиты информации, прошедших оценку соответствия;
• шифрование данных при передаче (TLS) и при хранении;
• разграничение и контроль доступа сотрудников к персональным данным;
• логическая изоляция данных разных Заказчиков;
• ведение учёта машинных носителей и журналирование доступа;
• оценка эффективности мер до ввода в эксплуатацию информационной системы;
• обучение работников правилам работы с персональными данными.

При подтверждении факта неточности персональных данных или неправомерности обработки Оператор осуществляет их актуализацию, блокирование или уничтожение в сроки, установленные ст. 21 152-ФЗ.

В случае достижения цели обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней, если иное не предусмотрено договором или законом.

В случае отзыва субъектом согласия Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней, если иное не предусмотрено основаниями для продолжения обработки без согласия.

Факт уничтожения персональных данных подтверждается актом об уничтожении.

Ответственным за организацию обработки персональных данных у Оператора является [уточняется].

Контакты ответственного лица: электронная почта support@sirencall.ru; почтовый адрес: [уточняется].

14.1. Настоящая Политика является общедоступной и размещается на сайте Оператора по адресу sirencall.ru/personal-data-policy.

14.2. Контроль за исполнением Политики возлагается на ответственного за организацию обработки персональных данных.

14.3. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения, если иное не предусмотрено новой редакцией.

14.4. Действующая редакция Политики на бумажном носителе хранится по месту нахождения Оператора.

Оператор уведомляет об обработке персональных данных Роскомнадзор в порядке ст. 22 152-ФЗ. Регистрационный номер уведомления: [уточняется].