Политика действует для сайта datacrate-cloud.ru, веб-интерфейса, настольных и мобильных клиентов BoxSync Drive и программного интерфейса сервиса. Она составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» и Регламентом (ЕС) 2016/679 (GDPR) в части, применимой к пользователям из Европейского союза.
1. Оператор
Оператором персональных данных является ООО «BoxSync Технологии», Москва (далее «мы»). По всем вопросам обработки данных пишите на support@datacrate-cloud.ru. Обращения по защите данных рассматривает ответственный за организацию обработки персональных данных.
2. Какие данные мы обрабатываем
Данные учётной записи
- имя и фамилия, рабочий адрес электронной почты, должность и подразделение, если их передаёт каталог компании;
- хеш пароля или идентификатор в системе единого входа (SAML 2.0, SCIM);
- настройки двухфакторной аутентификации, язык интерфейса, часовой пояс.
Данные об использовании сервиса
- события аудит-лога: открытие, изменение, скачивание, удаление файлов, смена прав, выдача ссылок, установка и снятие блокировок;
- IP-адрес, тип устройства, версия клиента и операционной системы, время входа;
- метаданные файлов: имя, размер, путь, хеши блоков, автор и время каждой версии.
Платёжные и договорные данные
Реквизиты организации-клиента, контакты ответственных лиц, история счетов. Данные банковских карт мы не храним: их обрабатывает платёжный провайдер, сертифицированный по PCI DSS.
Обращения в поддержку
Текст обращения, вложения и переписка, которые вы передаёте нам добровольно.
3. Цели и правовые основания
- Оказание услуги по договору: синхронизация файлов, хранение версий, блокировки, аудит-лог. Основание: п. 5 ч. 1 ст. 6 152-ФЗ, ст. 6(1)(b) GDPR.
- Безопасность и предотвращение злоупотреблений: выявление подозрительных входов, защита от несанкционированного доступа. Основание: законный интерес, ст. 6(1)(f) GDPR, и обязанности оператора по ст. 19 152-ФЗ.
- Бухгалтерский и налоговый учёт: выставление счетов и закрывающих документов. Основание: исполнение требований законодательства, ст. 6(1)(c) GDPR.
- Аналитика сайта и рассылки о продукте: только с вашего согласия, которое можно отозвать в любой момент. Основание: п. 1 ч. 1 ст. 6 152-ФЗ, ст. 6(1)(a) GDPR.
Мы не принимаем решений, порождающих юридические последствия для вас, исключительно на основании автоматизированной обработки.
4. Файлы клиентов
Содержимое файлов, которые сотрудники загружают в BoxSync Drive, принадлежит организации-клиенту. В отношении этих данных клиент выступает оператором, а мы обрабатываем их по его поручению (ч. 3 ст. 6 152-ФЗ, ст. 28 GDPR) и только для оказания услуги. Мы не просматриваем содержимое файлов, не используем его для обучения моделей и не передаём рекламным сетям. Доступ инженеров к данным клиента возможен только по заявке клиента в поддержку и фиксируется в журнале.
Условия поручения на обработку закреплены в пользовательском соглашении. Для тарифа Корпорация мы подписываем отдельное соглашение об обработке данных (DPA).
5. Где хранятся данные
Запись, систематизация, накопление и хранение персональных данных граждан России выполняются в базах данных на территории Российской Федерации, как того требует ч. 5 ст. 18 152-ФЗ. Мы используем два дата-центра уровня Tier III в Москве и Санкт-Петербурге. Каждый блок файла хранится в трёх копиях и зашифрован по AES-256, трафик защищён TLS 1.3. Подробнее на странице безопасности.
Трансграничную передачу персональных данных мы по умолчанию не выполняем. Если клиент из ЕС запрашивает размещение данных за пределами России, условия передачи согласуются отдельным договором со стандартными договорными условиями, утверждёнными Европейской комиссией, и с уведомлением Роскомнадзора по ст. 12 152-ФЗ.
6. Сроки хранения
- данные учётной записи хранятся, пока действует подписка, и удаляются в течение 30 дней после её окончания;
- файлы и версии после окончания подписки доступны для выгрузки 30 дней, затем удаляются из всех копий в течение следующих 30 дней;
- аудит-лог хранится в пределах срока тарифа: 30 дней, 1 год или 5 лет;
- платёжные документы хранятся 5 лет по требованиям бухгалтерского учёта;
- технические журналы безопасности хранятся 12 месяцев.
7. Передача третьим лицам
Мы не продаём персональные данные. Данные передаются только тем, кто помогает оказывать услугу, и в минимальном объёме:
- платёжному провайдеру для приёма оплаты картой;
- оператору электронного документооборота для отправки счетов и актов;
- сервису почтовых уведомлений для писем о блокировках, приглашениях и восстановлении доступа;
- государственным органам, если этого требует закон и запрос оформлен надлежащим образом.
С каждым подрядчиком заключён договор с обязательством соблюдать конфиденциальность и требования 152-ФЗ. Список действующих подрядчиков отправим по запросу на support@datacrate-cloud.ru.
8. Cookie
Cookie и похожие технологии (например, localStorage) помогают сайту работать и запоминать ваш выбор. При первом посещении мы показываем баннер, и аналитические cookie включаются только после согласия.
| Название | Тип | Назначение | Срок |
|---|---|---|---|
| bsd_session | Обязательный | Сессия в веб-интерфейсе | До выхода |
| bsd_csrf | Обязательный | Защита форм от подделки запросов | Сессия |
| bsd_cookie_consent_v1 | Обязательный, localStorage | Ваш выбор в баннере cookie | 12 месяцев |
| bsd_analytics | Аналитический | Обезличенная статистика посещаемости сайта | 6 месяцев |
Изменить выбор можно в любой момент: . Также cookie можно удалить в настройках браузера, но тогда придётся заново войти в веб-интерфейс.
9. Ваши права
По ст. 14 152-ФЗ и ст. 15-22 GDPR вы можете:
- узнать, какие ваши данные мы обрабатываем, и получить их копию;
- исправить неточные или неполные данные;
- потребовать удаления или ограничения обработки, если для неё нет законного основания;
- получить данные в машиночитаемом формате для передачи другому сервису;
- возразить против обработки на основании законного интереса и отозвать согласие на аналитику и рассылки;
- обратиться с жалобой в Роскомнадзор или в надзорный орган по защите данных своей страны в ЕС.
Если ваша учётная запись создана работодателем, часть запросов, например удаление файлов из общих папок, мы согласуем с администратором организации, поскольку оператором этих данных является она. Ответ на запрос мы даём в течение 10 рабочих дней, срок может быть продлён ещё на 5 рабочих дней с уведомлением.
10. Защита данных
Мы применяем правовые, организационные и технические меры по ст. 19 152-ФЗ: модель угроз, разграничение доступа по ролям, шифрование при передаче и хранении, журналирование действий администраторов, регулярное тестирование на проникновение. Об инцидентах, затрагивающих персональные данные, мы уведомляем Роскомнадзор в течение 24 часов, а клиентов без неоправданной задержки.
11. Дети
BoxSync Drive предназначен для организаций. Мы не собираем сознательно данные лиц младше 18 лет.
12. Изменения политики
Мы публикуем новую редакцию на этой странице и сообщаем администраторам клиентов о существенных изменениях по почте не позднее чем за 14 дней до их вступления в силу.
13. Контакты
ООО «BoxSync Технологии», Москва.
Вопросы о персональных данных: support@datacrate-cloud.ru.
Сообщения об уязвимостях: security@datacrate-cloud.ru.