1. Общие положения
Настоящая политика описывает обработку персональных данных обществом с ограниченной ответственностью «NexusVault Технологии» (далее NexusVault, «мы»), город Москва. Политика применяется к сайту vaultstack-online.ru, консоли управления, API и службе поддержки.
Мы обрабатываем персональные данные в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных». Для субъектов, находящихся в Европейском союзе, мы дополнительно соблюдаем требования Общего регламента по защите данных (GDPR) в той части, в которой он к нам применим.
Пользуясь сайтом или сервисом, вы подтверждаете, что ознакомились с политикой. Если вы не согласны с её условиями, не передавайте нам персональные данные через формы сайта.
2. Оператор и обработчик
Наша роль зависит от того, чьи это данные и зачем они попали к нам.
- Мы оператор для данных посетителей сайта, контактных лиц клиентов, пользователей консоли (учётные записи, журналы входа) и заявителей на пилот.
- Мы обработчик по поручению для любых данных, которые клиент загружает в свои бакеты: медицинской документации, снимков, платёжных реестров, журналов операций. Оператором этих данных остаётся клиент, а мы действуем по поручению согласно части 3 статьи 6 152-ФЗ и договору обработки данных.
Содержимое объектов в бакетах зашифровано ключами клиента. Мы не просматриваем, не анализируем и не используем его для собственных целей, включая обучение моделей и маркетинг.
3. Какие данные мы обрабатываем
| Категория | Примеры | Источник |
|---|---|---|
| Контактные данные | Имя, рабочая почта, должность, организация, телефон | Формы сайта, договор, переписка |
| Учётная запись | Логин, хеш пароля, настройки MFA, роли, идентификатор в каталоге SSO | Регистрация, синхронизация SCIM |
| Технические данные | IP-адрес, тип браузера, время запросов, идентификатор сессии | Журналы сервиса и сайта |
| Журнал аудита | Кто, когда и с какого адреса обращался к объекту, результат проверки прав | Работа с консолью и API |
| Платёжные данные | Реквизиты организации, история счетов | Договор и бухгалтерия клиента |
Мы не собираем через сайт данные о здоровье, биометрические данные и сведения о судимости. Данные банковских карт мы не получаем и не храним: оплата для юрлиц выполняется по счёту.
4. Цели и правовые основания
- Заключение и исполнение договора: предоставление доступа к сервису, поддержка, выставление счетов. Основание: пункт 5 части 1 статьи 6 152-ФЗ, статья 6(1)(b) GDPR.
- Исполнение требований закона: бухгалтерский и налоговый учёт, ответы на запросы уполномоченных органов. Основание: пункт 2 части 1 статьи 6 152-ФЗ, статья 6(1)(c) GDPR.
- Безопасность сервиса: ведение журналов, выявление атак, расследование инцидентов. Основание: законный интерес, статья 6(1)(f) GDPR.
- Ответы на заявки и рассылка о продукте: только с вашего согласия, которое можно отозвать в любой момент. Основание: пункт 1 части 1 статьи 6 152-ФЗ, статья 6(1)(a) GDPR.
6. Хранение и локализация
Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ выполняются с использованием баз данных на территории Российской Федерации, как того требует часть 5 статьи 18 152-ФЗ. Основная и резервная площадки расположены в Москве и Санкт-Петербурге.
7. Передача третьим лицам
Мы передаём персональные данные только тем, без кого не можем оказать услугу, и только в объёме, нужном для конкретной задачи:
- владельцам дата-центров, где размещено наше оборудование, без доступа к содержимому дисков;
- оператору электронного документооборота для обмена счетами и актами;
- сервису отправки транзакционных писем, расположенному в РФ;
- государственным органам по законному запросу, о котором мы уведомляем клиента, если это не запрещено законом.
Трансграничную передачу персональных данных мы не осуществляем. Если клиент поручит нам разместить копию за пределами РФ, это оформляется отдельным соглашением и уведомлением в порядке статьи 12 152-ФЗ.
8. Сроки хранения
| Данные | Срок |
|---|---|
| Заявки с сайта без заключения договора | 12 месяцев с момента заявки |
| Данные клиентов и пользователей консоли | Срок действия договора и 3 года после его окончания |
| Технические журналы сайта | 6 месяцев |
| Журнал аудита доступа к объектам | Согласно политике клиента, по умолчанию 7 лет |
| Бухгалтерские документы | 5 лет согласно 402-ФЗ |
После окончания срока данные удаляются или обезличиваются. Данные в бакетах клиента удаляются по правилам его WORM-политики и не могут быть удалены нами раньше установленного клиентом срока.
9. Медицинские и финансовые данные клиентов
Клиенты загружают в NexusVault специальные категории персональных данных, в том числе сведения о состоянии здоровья, а также банковскую тайну. Для этих данных действуют дополнительные правила:
- обработка ведётся только по документированному поручению клиента;
- объекты шифруются AES-256-GCM, мастер-ключи принадлежат клиенту или хранятся в выделенном разделе KMS;
- сотрудники NexusVault не имеют постоянного доступа к данным, а временный доступ для диагностики выдаётся только по заявке клиента и записывается в журнал;
- для клиентов, работающих с ePHI по HIPAA, мы подписываем соглашение Business Associate Agreement.
10. Права субъектов
Вы можете в любой момент:
- получить сведения об обработке своих данных и их копию;
- потребовать уточнить, заблокировать или удалить данные, если они неполные, устаревшие или обрабатываются незаконно;
- отозвать согласие на обработку и отказаться от рассылки;
- для субъектов в ЕС: ограничить обработку, возразить против неё и получить данные в машиночитаемом формате;
- обжаловать наши действия в Роскомнадзоре или в надзорном органе своей страны.
Запрос направляйте на support@vaultstack-online.ru. Мы отвечаем в течение 10 рабочих дней, для запросов по GDPR в течение одного месяца. Если данные находятся в архиве клиента, мы перенаправим запрос оператору, то есть вашей клинике или финансовой организации.
11. Защита данных
Мы применяем организационные и технические меры: шифрование TLS 1.3 при передаче и AES-256 при хранении, разграничение доступа по ролям, обязательную многофакторную аутентификацию, журналирование и круглосуточный мониторинг. Подробное описание приведено на странице Безопасность.
Об инцидентах, затрагивающих персональные данные, мы уведомляем Роскомнадзор в течение 24 часов, а о результатах расследования в течение 72 часов, как требует 152-ФЗ. Клиентов, чьи данные затронуты, мы уведомляем в те же сроки.
12. Изменения политики
Мы можем обновлять политику при изменении законодательства или сервиса. Актуальная редакция всегда доступна на этой странице, дата редакции указана в начале. О существенных изменениях клиенты узнают по почте не позднее чем за 14 дней до вступления в силу.
13. Контакты
ООО «NexusVault Технологии», Москва.
Ответственный за организацию обработки персональных данных: support@vaultstack-online.ru, тема письма «Персональные данные».