Политика защиты и обработки персональных данных ООО «Индевлабс»

Общие положения

Настоящая Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных (далее – ПД)", а также во исполнение требований следующих нормативных актов:

Приказ ФСТЭК России от 15.07.2026 № 143 "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных..." (вступил в силу 01.09.2026);
ГОСТ Р 56939-2024 "Защита информации. Разработка безопасного программного обеспечения";
Постановление Правительства РФ от 01.11.2012 № 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных".

ООО «Индевлабс» (далее – Оператор) обеспечивает защиту обрабатываемых ПД от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями Закона о ПД.
Оператор имеет право вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента ее размещения на сайте, если иное не предусмотрено новой редакцией Политики.
Понятия, содержащиеся в ст. 3 Закона о ПД, используются в настоящей Политике с аналогичным значением.

Правовыми основаниями обработки персональных данных Оператором являются:

Федеральные законы Российской Федерации:

Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных» (включая ч. 1 ст. 6 — обработка на основании согласия, договора или требований закона; ч. 4 ст. 18.1 — обязанность опубликовать политику).
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации».
Трудовой кодекс РФ (ст. 86–90) — исключительно для обработки ПДн работников и кандидатов.
Налоговый кодекс РФ и Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учете» — для хранения первичных документов и отчетности.
Федеральный закон от 07.07.2003 № 126-ФЗ «О связи» — в части фиксации сетевых адресов и времени сессии при предоставлении телематических услуг.
Федеральный закон от 26.07.2017 № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» — применяется в случае оказания услуг субъектам КИИ.

Подзаконные акты в сфере защиты информации:

Постановление Правительства РФ от 01.11.2012 № 1119 (об уровнях защищенности ПДн).
Приказ ФСТЭК России от 15.07.2026 № 143 (вступает в силу 01.09.2026) — как нормативный акт, определяющий состав мер по исполнению обязанностей согласно ст. 19 Закона № 152-ФЗ.
Приказ ФСТЭК России от 11.04.2025 № 117 — при обработке данных в государственных информационных системах (ГИС).

Состав обрабатываемых данных

Данные аккаунта при регистрации через онбординг:

имя;
адрес электронной почты;
номер телефона, если он указан пользователем;
пароль и подтверждение пароля для создания учётной записи.

Данные о компании и сервисе, которые пользователь указывает в онбординге:

название сервиса или компании;
slug (адрес карточки);
ИНН, если он указан пользователем;
адрес сайта;
категория сервиса;
краткое описание проекта;
выбранные западные сервисы-альтернативы и/или вариант, указанный вручную.

Данные, собираемые автоматически и технически:

IP-адрес;
User-Agent (сведения о браузере, устройстве и ОС, если они передаются браузером);
дата и время действий по созданию компании и карточки сервиса;
идентификатор согласия на cookie;
токен авторизации, выдаваемый после регистрации и используемый для работы Личного кабинета.

Порядок, условия и сроки обработки персональных данных

Общие принципы Обработка ПДн осуществляется Оператором на законной и справедливой основе, ограничиваясь достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями их сбора, а также объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой.
Правовые основания и способы обработки

Основания: Обработка осуществляется для исполнения договоров, стороной которых является субъект ПДн; для достижения целей, предусмотренных законом; а также с согласия субъекта ПДн (п. 5 ч. 1 ст. 6 Федерального закона № 152-ФЗ). Способы: Оператор осуществляет смешанную обработку: автоматизированную (с использованием средств вычислительной техники) и без использования таких средств. Доступ персонала: К обработке допускаются только штатные сотрудники Оператора, имеющие оформленный доступ к ИСПДн согласно утвержденным матрицам доступа и должностным инструкциям.

Действия с персональными данными В процессе обработки Оператор совершает следующие действия (операции): сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн. Источниками получения ПДн являются:

Непосредственно от субъекта (через формы на сайте, API-запросы, электронную переписку); Общедоступные источники; Автоматизированный сбор телеметрии при использовании сервисов Оператора.

Требование локализации При сборе ПДн граждан Российской Федерации, в том числе посредством информационно-телекоммуникационной сети «Интернет», Оператор обеспечивает их запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации (за исключением случаев, прямо предусмотренных законодательством РФ).
Принципы минимизации и точности Содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки. Оператор не обрабатывает избыточные данные. Категории специальных ПДн (касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни) Оператором не обрабатываются.
Меры по обеспечению безопасности (в соответствии с Приказом ФСТЭК России от 15.07.2026 № 143) Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного доступа, уничтожения, изменения и копирования, включая:

Назначение лица, ответственного за организацию обработки ПДн, и администратора безопасности ИСПДн. Применение прошедших процедуру оценки соответствия средств защиты информации (антивирусное ПО, средства межсетевого экранирования). Регламентацию правил доступа: учетные записи сотрудников защищены индивидуальными паролями, соответствующими требованиям сложности, реализован контроль сессий. Ведение журналов регистрации событий безопасности (логов) в информационных системах. Проведение регулярного внутреннего контроля и аудита защищенности систем. Ознакомление работников под роспись с локальными актами по вопросам обработки ПДн.

Технические меры защиты прикладного уровня (PII Masking) С целью нейтрализации актуальных угроз утечки ПДн через логи приложений и системы мониторинга производительности (APM), на уровне программных агентов сбора телеметрии внедрена функция автоматического маскирования чувствительных данных (PII masking). Персональные данные пользователей исключаются из трассировок запросов и метрик ошибок до момента их записи в базу данных наблюдаемости.
Условия хранения и уничтожения

Сроки: Хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом или договором. Уничтожение: По достижении целей обработки или истечении установленных сроков хранения ПДн подлежат уничтожению. Для документов на бумажных носителях — путем шредирования, для электронных данных — путем гарантированного стирания/разрушения носителя. Факт уничтожения подтверждается актом об уничтожении ПДн установленной формы.

Ограничение передачи третьим лицам Раскрытие ПДн третьим лицам без согласия субъекта не допускается, за исключением случаев:

Передача уполномоченным государственным органам (ФНС, ФСБ, МВД, суды) исключительно в рамках их полномочий и на основании официального запроса в порядке, установленном ФЗ-152 и УПК РФ.
Поручение обработки ПДн облачным провайдерам и подрядчикам на основании договора, содержащего обязательства по соблюдению конфиденциальности и требований Приказа ФСТЭК № 143.

Трансграничная передача Трансграничная передача персональных данных на территорию иностранных государств Оператором не осуществляется. При необходимости привлечения зарубежных инфраструктурных сервисов вся обработка ПДн граждан РФ локализуется на серверах внутри Российской Федерации.

Цели, категории субъектов и состав обрабатываемых персональных данных

Принципы определения целей Обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями их сбора.
Перечень целей обработки Оператор осуществляет обработку ПДн для реализации следующих целей:

Кадровое администрирование и трудовые отношения:

Ведение кадрового делопроизводства, содействие в трудоустройстве, организация обучения и повышения квалификации персонала.
Обеспечение личной безопасности работников, контроль количества и качества выполняемой работы, обеспечение сохранности имущества Оператора.
Начисление заработной платы и иных выплат, исчисление и уплата налогов, взносов и сборов.
Организация постановки на индивидуальный (персонифицированный) учет в системах обязательного пенсионного и социального страхования.
Заполнение и передача в государственные органы (ФНС, СФР, военкоматы) требуемых форм статистической и налоговой отчетности.
Ведение воинского учета.

Исполнение договорных обязательств:

Заключение и исполнение договоров с клиентами, контрагентами и партнерами (физическими и юридическими лицами).
Идентификация стороны договора, проведение взаиморасчетов, оказание технической поддержки по заключенным соглашениям.
Привлечение и отбор кандидатов на вакантные должности (включая анализ профессиональных навыков и опыта работы).

Предоставление сервисов и функционирование IT-инфраструктуры:

Предоставление доступа к платформе Konso, регистрация личных кабинетов, аутентификация пользователей при входе в систему.
Сбор и анализ телеметрии (APM-мониторинг) исключительно для обеспечения работоспособности сервисов, отладки программного кода и предотвращения сбоев.
Обработка обращений и запросов субъектов ПДн через формы обратной связи, электронную почту или мессенджеры. Информирование о статусе работы Сайта, техническая поддержка пользователей.

Маркетинговая деятельность:

Направление информационных и рекламных сообщений о продуктах, услугах и мероприятиях Оператора (осуществляется только при наличии отдельного согласия субъекта).
Проведение статистических и маркетинговых исследований, анализ пользовательского опыта для улучшения качества услуг.

Выполнение требований законодательства РФ:

Соблюдение норм Федерального закона № 152-ФЗ «О персональных данных», Налогового кодекса РФ, Трудового кодекса РФ и иных нормативных правовых актов.
Предоставление сведений по мотивированным запросам уполномоченных органов государственной власти (суды, правоохранительные органы, ФНС).

Категории субъектов персональных данных Оператор обрабатывает ПДн следующих категорий лиц:

Работники Оператора, бывшие работники, кандидаты на замещение вакантных должностей.
Клиенты и контрагенты — физические лица.
Представители и работники клиентов/контрагентов (юридических лиц), действующие на основании доверенностей или устава.
Посетители сайта Оператора (svoivit.ru и scan.svoivit.ru).

Объем и категории обрабатываемых персональных данных Для достижения указанных выше целей Оператор обрабатывает следующие данные:

Идентификационные данные: Фамилия, имя, отчество;
Контактные данные: номер мобильного телефона; адрес электронной почты (e-mail).
Телеметрия и технические данные (для посетителей Сайта):
IP-адрес, тип устройства и операционной системы, версия браузера;
Данные файлов cookie, идентификаторы сессии;
История запросов, URL посещенных страниц, длительность сессий, логи взаимодействия с интерфейсом платформы.

Важное примечание: Оператор подтверждает, что специальные категории ПДн (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных убеждений, состояния здоровья, интимной жизни), а также биометрические ПДн (за исключением фотографии для пропуска/сайта, используемой как элемент профиля) Оператором не обрабатываются. Конкретный перечень данных может сокращаться в зависимости от типа заключаемого договора или выбранного субъектом функционала сервиса.

Хранение ПД

ПД субъектов могут быть получены, проходить дальнейшую обработку и передаваться на хранение как на бумажных носителях, так и в электронном виде.
ПД, зафиксированные на бумажных носителях, хранятся в запираемых шкафах либо в запираемых помещениях с ограниченным правом доступа.
ПД субъектов, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках.
Не допускается хранение и размещение документов, содержащих ПД, в открытых электронных каталогах (файлообменниках).
Хранение ПД в форме, позволяющей определить субъекта ПД, осуществляется не дольше, чем этого требуют цели их обработки, и они подлежат уничтожению по достижении целей обработки или в случае утраты необходимости в их достижении.

Уничтожение ПД

Уничтожение документов (носителей), содержащих ПД, производится путем сожжения, дробления (измельчения), химического разложения, превращения в бесформенную массу или порошок. Для уничтожения бумажных документов допускается применение шредера.
ПД на электронных носителях уничтожаются путем стирания или форматирования носителя.
Факт уничтожения ПД подтверждается документально актом об уничтожении носителей.

Сведения о реализуемых требованиях к защите ПД

В соответствии с требованиями нормативных документов Оператором создана система защиты ПД (СЗПД), состоящая из подсистем правовой, организационной и технической защиты.
Подсистема правовой защиты представляет собой комплекс правовых, организационно-распорядительных и нормативных документов, обеспечивающих создание, функционирование и совершенствование СЗПД.
Подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе с сотрудниками, партнерами и сторонними лицами.
Подсистема технической защиты включает в себя комплекс технических, программных, программно-аппаратных средств, обеспечивающих защиту ПД.

Основные меры защиты ПД, используемыми Оператором

Назначение лица, ответственного за обработку ПД, которое осуществляет организацию обработки ПД, обучение и инструктаж, внутренний контроль за соблюдением учреждением и его работниками требований к защите ПД.
Определение актуальных угроз безопасности ПД при их обработке в ИСПД и разработка мер и мероприятий по защите ПД.
Разработка политики в отношении обработки ПД.
Установление правил доступа к ПД, обрабатываемым в ИСПД, а также обеспечение регистрации и учета всех действий, совершаемых с ПД в ИСПД.
Установление индивидуальных паролей доступа сотрудников в информационную систему в соответствии с их производственными обязанностями.
Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.
Сертифицированное антивирусное программное обеспечение с регулярно обновляемыми базами.
Соблюдение условий, обеспечивающих сохранность ПД и исключающих несанкционированный к ним доступ.
Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер.
Восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
Обучение работников Оператора, непосредственно осуществляющих обработку ПД, положениям законодательства РФ о ПД, в том числе требованиям к защите ПД, документам, определяющим политику Оператора в отношении обработки ПД, локальным актам по вопросам обработки ПД.
Осуществление внутреннего контроля и аудита.

Основные права и обязанности субъекта ПД и обязанности Оператора

Субъект имеет право на доступ к его ПД и следующим сведениям:

подтверждение факта обработки ПД Оператором
правовые основания и цели обработки ПД
цели и применяемые Оператором способы обработки ПД
наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к ПД или которым могут быть раскрыты ПД на основании договора с Оператором или на основании федерального закона
сроки обработки ПД, в том числе сроки их хранения
порядок осуществления субъектом ПД прав, предусмотренных законами
наименование или фамилия, имя, отчество и адрес лица, осуществляющего обработку ПД по поручению Оператора, если обработка поручена или будет поручена такому лицу
обращение к Оператору и направление ему запросов
обжалование действий или бездействия Оператора

Субъект ПД обязан:

предоставлять Оператору только достоверные данные о себе
предоставлять документы, содержащие ПД в объеме, необходимом для цели обработки
сообщать Оператору об уточнении (обновлении, изменении) своих ПД
Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом субъекте ПД без согласия последнего, несут ответственность в соответствии с законодательством Российской Федерации.

Оператор обязан:

при сборе ПД предоставить информацию об обработке ПД
в случаях если ПД были получены не от субъекта ПД, уведомить субъекта
при отказе в предоставлении ПД субъекту разъясняются последствия такого отказа
опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПД, к сведениям о реализуемых требованиях к защите ПД
принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД
давать ответы на запросы и обращения субъектов ПД, их представителей и уполномоченного органа по защите прав субъектов ПД

Оператор имеет право:

получать от субъекта ПД достоверные информацию и/или документы, содержащие ПД
требовать от субъекта ПД своевременного уточнения предоставленных ПД

Изменение и уничтожение ПД, запросы субъектов ПД

В случае подтверждения факта неточности ПД или неправомерности их обработки ПД подлежат их актуализации Оператором, или их обработка должна быть прекращена соответственно.
Факт неточности ПД или неправомерности их обработки может быть установлен либо субъектом ПД, либо компетентными государственными органами Российской Федерации.
По письменному запросу субъекта ПД или его представителя Оператор обязан сообщить информацию об осуществляемой им обработке ПД указанного субъекта. Такой запрос должен содержать номер основного документа, удостоверяющего личность субъекта ПД и его представителя и документ, подтверждающий права представителя на получение таких данных, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта ПД в отношениях с Оператором (дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПД Оператором, подпись субъекта ПД или его представителя.
Если в запросе субъекта ПД не отражены все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
В порядке, предусмотренном п. 6.3, субъект ПД вправе требовать от Оператора уточнения его ПД, их блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.
При достижении целей обработки ПД, а также в случае отзыва субъектом ПД Согласия, ПД данные подлежат уничтожению, если:

Оператор не вправе осуществлять обработку без Согласия субъекта ПД
иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПД
иное не предусмотрено иным соглашением между Оператором и субъектом ПД

Политика в отношении cookie-файлов

Сookie-файлы используются на Сайте для улучшения качества взаимодействия посетителей с Сайтом, позволяя Сайту запоминать посетителей на время их первого или во время повторных посещений. В некоторых случаях cookie-файлы используются для персонализации информации на Сайте, основываясь на местоположении.
Оператор использует cookie-файлы, которые необходимы для перемещения посетителей по Сайту или работы определенных основных функций. Сookie-файлы используются для улучшения функциональности Сайта, например, за счет сохранения настроек посетителя. Оператор также использует cookie-файлы для улучшения работы Сайта, чтобы улучшить качество взаимодействия посетителей с Сайтом.