Эта Политика объясняет, какие персональные данные обрабатывает сервис «Айвико», зачем и как мы их защищаем. Оператор данных учётных записей пользователей - Индивидуальный предприниматель Стыврин Денис Васильевич (ОГРНИП 315246800032884, ИНН 246005004145; далее - «Оператор»).
«Айвико» (далее - «Сервис») - сервис для управления бизнесом в сфере услуг и продаж, доступный по адресу crm.aivico.ru. Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных».
1. Две роли по 152-ФЗ
У Сервиса две разные роли, и их важно различать.
1.1. Данные учётной записи пользователя (того, кто регистрируется и работает в Сервисе: электронная почта, ФИО, телефон, пароль). По этим данным Оператор - ИП Стыврин Д. В. Их обработку регулирует настоящая Политика.
1.2. Данные, которые пользователь сам вносит в Сервис о своих клиентах и контрагентах. По этим данным оператором выступает компания-пользователь, а Оператор Сервиса обрабатывает их по поручению пользователя (ст. 6 ч. 3 152-ФЗ) и только для работы Сервиса. Пользователь сам отвечает за то, что у него есть право вносить эти данные и получать согласия их субъектов.
2. Чьи данные и какие мы обрабатываем
2.1. Пользователи Сервиса (сотрудники компаний-клиентов): электронная почта, ФИО, телефон, пароль (хранится в виде необратимого хеша), идентификатор Telegram или MAX при привязке уведомлений, технические данные входа (IP-адрес, время, устройство).
2.2. Данные, внесённые пользователями (обрабатываются по поручению): сведения о клиентах и контрагентах компании, об их устройствах, истории обращений, фото и видео по заказам, записи телефонных разговоров с клиентами (когда пользователь подключил телефонию), записи согласий клиентов на рекламные сообщения и их отзывы, в том числе фотографии бумажных согласий, паспортные данные (когда пользователь их вносит - хранятся в зашифрованном виде), а также банковские реквизиты контрагента - наименование банка, БИК, номера счетов и SWIFT (когда пользователь их вносит, в том числе по контрагенту-физическому лицу, например поставщику; хранятся в зашифрованном виде). Состав определяет сам пользователь.
Специальные категории персональных данных и биометрию Сервис не обрабатывает: распознавание или идентификация по фотографиям не ведётся.
3. Зачем мы обрабатываем данные
3.1. Данные учётной записи - чтобы зарегистрировать пользователя, дать доступ к личному кабинету, поддерживать работу Сервиса, обеспечивать безопасность входа и связываться с пользователем по работе Сервиса.
3.2. Данные, внесённые пользователем, - чтобы Сервис выполнял свои функции (вёл заказы, клиентскую базу, расчёты, коммуникации) в интересах пользователя.
3.3. Адрес электронной почты - для новостных и рекламных рассылок, только если пользователь дал на это отдельное согласие (галочка при регистрации; ст. 18 Закона «О рекламе»). От рассылки можно отказаться в любой момент - по ссылке «Отписаться» в письме или через support@aivico.ru.
4. На каком основании
Обработка ведётся на основании 152-ФЗ, Гражданского кодекса РФ, соглашения с пользователем (Пользовательского соглашения) и согласия субъекта персональных данных. Для данных, вносимых пользователем, основанием служит поручение пользователя как оператора.
5. Что мы делаем с данными
Сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу (предоставление доступа в рамках работы Сервиса), блокирование, удаление и уничтожение. Способ обработки смешанный: автоматизированный и без средств автоматизации.
6. Кому мы поручаем обработку
Сервис работает на инфраструктуре Yandex Cloud (облачный провайдер обрабатывает данные по поручению Оператора, серверы в России). При использовании пользователем соответствующих функций данные также проходят через сторонние сервисы:
онлайн-оплата подписки и выставление счетов и закрывающих документов - через платёжный сервис, подключённый Оператором: Точка Банк (Россия). Провайдеру передаются данные плательщика, нужные для платежа и документов (для юрлица или ИП - наименование, ИНН, адрес электронной почты для отправки документов, сумма); реквизиты карты вводятся на стороне провайдера и в Сервис не попадают;
защита от автоматических регистраций и подбора паролей - Яндекс SmartCaptcha (Россия): при входе, регистрации и восстановлении пароля ей передаются IP-адрес и сигналы поведения, чтобы отличить человека от робота;
отправка электронной почты (письма с уведомлениями и кодами подтверждения) - через почтовый хостинг REG.RU (Россия);
мессенджеры - когда пользователь подключает каналы общения с клиентами: Telegram (исходящие запросы могут идти через прокси-сервер за пределами России) и WhatsApp (через сервис Green API; переписка проходит через инфраструктуру WhatsApp/Meta за пределами России);
MAX (VK) - для доставки уведомлений через бота Оператора. В отличие от каналов выше, этот сервис привлекает сам Оператор, а не пользователь: передаются идентификатор аккаунта получателя и текст уведомления. Серверы MAX расположены в России;
телефония и записи разговоров - когда пользователь подключает IP-телефонию (например, Mango Office, Novofon, Мойзвонки): провайдеру передаётся номер клиента для звонка, а записи разговоров хранятся в Сервисе.
Эти сервисы получают только те данные, которые нужны для конкретной функции, и используют их по нашему поручению.
Ещё один особый случай - функции обмена между компаниями-пользователями Сервиса («Сеть» и межсервисный паспорт изделий). Их компания включает сама, и данные при этом получает не подрядчик Оператора, а другая компания, которая дальше обрабатывает их для собственных целей. Подробно этот обмен описан в Поручении на обработку (DPA), п. 4.4.
Отдельно стоит DaData (Россия) - подсказки реквизитов организаций из ЕГРЮЛ/ЕГРИП и справочник банков. Этот сервис пользователь подключает сам, по собственному договору с DaData и своим ключом доступа. Запрос уходит из браузера пользователя напрямую в DaData, минуя серверы Сервиса; в DaData передаётся только строка, которую пользователь набрал в поле (название организации, ИНН, название банка или БИК). Полученные сведения сохраняются в Сервисе как обычные данные контрагента.
7. Где хранятся данные
Базы данных и файловое хранилище (фото, видео, документы) размещены на территории Российской Федерации. Локализация обработки персональных данных граждан РФ обеспечена в соответствии со ст. 18 ч. 5 152-ФЗ.
8. Трансграничная передача
Сами данные учётных записей, клиентская база и медиафайлы хранятся и обрабатываются в России. Трансграничная передача возникает только для функций обмена сообщениями: когда пользователь подключает мессенджеры (Telegram, WhatsApp через Green API), переписка проходит через инфраструктуру этих сервисов за пределами России, в том числе через прокси-сервер за рубежом. Эта передача происходит по инициативе пользователя, который включает соответствующую функцию. Уведомления через MAX трансграничной передачи не порождают: сервис работает в России, и запросы к нему идут напрямую, без прокси.
9. Сколько мы храним данные
Данные обрабатываются, пока это нужно для целей обработки. При удалении аккаунта данные хранятся ещё 30 дней, после чего удаляются без возможности восстановления. До истечения этого срока удаление аккаунта можно отменить. Данные, внесённые пользователем, удаляются по его команде или при удалении его аккаунта.
10. Как мы защищаем данные
Организационные меры: политика обработки персональных данных, назначенный ответственный за обработку, разграничение доступа по ролям, журналирование действий, установленные сроки хранения и порядок удаления.
Технические меры: шифрование канала при передаче (TLS), шифрование секретов (AES-256-GCM), шифрование медиафайлов при хранении (SSE-KMS, ключ в системе управления ключами), приватные хранилища с выдачей файлов только после проверки прав, разграничение доступа внутри Сервиса. Инфраструктура провайдера аттестована по требованиям ФСТЭК и ФСБ России.
11. Ваши права
Субъект персональных данных вправе получить сведения об обработке своих данных, потребовать их уточнения, блокирования или удаления, а также отозвать согласие на обработку. Чтобы воспользоваться правами, напишите на support@aivico.ru. Мы ответим в сроки, установленные законом.
Если запрос касается данных, которые в Сервис внёс пользователь о своих клиентах, мы перенаправим обращение этому пользователю как оператору таких данных.
12. Файлы cookie и веб-аналитика
Файлы cookie у нас двух видов, и обходятся мы с ними по-разному.
Необходимые - те, без которых не работает вход и личный кабинет. Они ставятся всегда: без них вас выбрасывало бы из аккаунта на каждой странице. Согласия они не требуют, отключить их и продолжать пользоваться Сервисом нельзя.
Аналитические - только на сайте и только с вашего согласия. На странице-лендинге (aivico.ru) работает Яндекс.Метрика: обезличенные данные о посещениях - какие страницы открывали, откуда пришли, куда нажимали. Вебвизор мы не используем: запись действий на странице не ведётся. Данные обрабатываются на стороне Яндекса в России.
Счётчик не загружается, пока вы не нажали «Принять» в баннере о cookie. Нажмёте «Отклонить» - Метрика не включится вовсе, сайт при этом работает как обычно. Молчание согласием не считается: пока выбора нет, аналитики нет.
В личном кабинете (crm.aivico.ru) веб-аналитики нет вообще - ни счётчика, ни Вебвизора. Это рабочий инструмент, в котором вы ведёте данные своих клиентов, и наблюдать за работой в нём мы не считаем правильным. Поэтому и баннера про cookie там нет: оставшиеся cookie нужны для входа, согласия они не требуют.
Чтобы отозвать согласие или ответить заново, очистите данные сайта aivico.ru в браузере - баннер спросит снова. Можно и просто запретить cookie в браузере или поставить блокировщик. Если удобнее, напишите на support@aivico.ru, и мы поможем.
13. Изменение Политики
Оператор вправе изменять настоящую Политику, публикуя новую редакцию по адресу crm.aivico.ru/legal/privacy. Дата редакции указана вверху.
14. Контакты
Индивидуальный предприниматель Стыврин Денис Васильевич