Политика конфиденциальности мобильного приложения «Самба CRM»

для пользователей мобильного приложения

1. Общие положения
1.1. Настоящая Политика конфиденциальности мобильного приложения «Самба CRM» (далее — «Политика») определяет правила обработки и защиты персональных данных и иной информации при использовании мобильного приложения «Самба CRM» (далее — «Приложение»). Политика разработана с учетом Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и иных применимых требований законодательства Российской Федерации.
1.2. Правообладателем Приложения и сервиса «Самба CRM» является Индивидуальный предприниматель Уруев Артем Сергеевич (ИНН 352825647628, ОГРНИП 319352500022596; далее — «Лицензиар»). Сайт Лицензиара: https://sambacrm.ru. Облачный сервис «Самба CRM» доступен по адресу https://sambaoffice.ru.
1.3. Приложение является частью сервиса «Самба CRM» и предназначено для пользователей организаций, использующих сервис: учебных и детских центров, школ танцев, спортивных секций, фитнес- и иных организаций (далее — «Организация»). В зависимости от типа учетной записи пользователю может быть доступен интерфейс ученика, родителя, преподавателя или иной предусмотренной роли.
1.4. В отношении персональных данных учеников, родителей, преподавателей и иных лиц, которые Организация размещает в сервисе для собственных целей, Организация, как правило, самостоятельно определяет цели и состав обработки и выступает оператором персональных данных, а Лицензиар осуществляет обработку по ее поручению в объеме, необходимом для работы сервиса. В отношении данных, цели обработки которых Лицензиар определяет самостоятельно (например, обращений в поддержку, данных безопасности и технической диагностики), Лицензиар выступает оператором персональных данных.
1.5. Настоящая Политика не заменяет документы Организации по обработке персональных данных. Если для конкретной обработки законодательством требуется согласие субъекта персональных данных, такое согласие оформляется отдельно от настоящей Политики, пользовательского соглашения и иных документов.

2. Какие данные могут обрабатываться
2.1. Состав обрабатываемых данных зависит от роли пользователя, настроек Организации и доступного функционала Приложения.
2.2. В рамках работы Приложения могут обрабатываться следующие категории данных:
·  идентификационные и профильные данные: фамилия, имя, отчество (если указано), внутренний идентификатор пользователя, роль в Организации, принадлежность к группе или подразделению;
·  контактные данные: номер телефона и адрес электронной почты — если они внесены Организацией или пользователем и используются в соответствующем сценарии;
·  данные, связанные с обучением и посещением: расписание, занятия, группы, сведения о посещаемости, задания, заметки, достижения и иная информация, доступная в конкретной версии сервиса;
·  данные об абонементах, начислениях, оплатах и задолженности, если такой функционал используется Организацией. Приложение может отображать сведения об оплатах, сформированные в сервисе; реквизиты банковской карты Лицензиаром не запрашиваются и не хранятся, если иное прямо не указано пользователю в конкретном платежном сценарии;
·  данные преподавателя, связанные с проведением занятий: расписание, занятия, группы, отметки посещаемости и иные рабочие данные в пределах предоставленных прав;
·  данные авторизации и сессии: логин или иной идентификатор учетной записи, служебные токены и идентификаторы сессии, необходимые для безопасного входа и поддержания авторизации;
·  технические данные: IP-адрес, модель устройства, версия операционной системы и Приложения, язык и часовой пояс устройства, технические идентификаторы, сведения о сбоях и событиях безопасности в объеме, необходимом для эксплуатации и защиты сервиса;
·  данные для уведомлений: технический токен устройства и параметры доставки push-уведомлений, если пользователь разрешил уведомления;
·  обращения пользователя: текст сообщения и связанные с ним контактные и технические данные, если пользователь использует форму обратной связи или обращается в поддержку.
2.3. Приложение не предназначено для целенаправленного сбора биометрических данных или специальных категорий персональных данных (в том числе сведений о здоровье, политических взглядах, религиозных убеждениях). Не следует размещать такие сведения в свободных полях, если для этого нет предусмотренного Организацией законного основания и соответствующего функционала.

3. Цели обработки данных
·  идентификация и авторизация пользователя, предоставление доступа к Приложению;
·  отображение функций и данных в соответствии с ролью пользователя и настройками Организации;
·  синхронизация данных между Приложением и сервисом «Самба CRM»;
·  ведение расписания, занятий, посещаемости, заданий, абонементов и иных доступных разделов сервиса;
·  доставка сервисных уведомлений о занятиях, изменениях расписания, оплатах и иных событиях, если уведомления включены;
·  обработка обращений, техническая поддержка и получение предложений по улучшению продукта;
·  обеспечение информационной безопасности, предотвращение несанкционированного доступа, диагностика ошибок и поддержание стабильной работы;
·  исполнение обязанностей, установленных законодательством Российской Федерации.

4. Правовые основания обработки
4.1. Обработка осуществляется при наличии оснований, предусмотренных законодательством Российской Федерации, в том числе для исполнения договора и предоставления функциональности сервиса, на основании поручения Организации, для осуществления прав и законных интересов при условии ненарушения прав субъекта персональных данных, а также на основании согласия субъекта — в случаях, когда такое согласие требуется законом.
4.2. Организация отвечает за наличие законных оснований для внесения в сервис и последующей обработки персональных данных своих учеников, родителей, преподавателей и иных пользователей, включая получение необходимых согласий и информирование субъектов персональных данных.
4.3. Если пользователем является несовершеннолетний или лицо, для которого законодательством предусмотрено участие законного представителя, необходимые действия и согласия оформляются законным представителем в случаях и порядке, установленных законом.

5. Получение данных
5.1. Основная часть данных поступает в Приложение из учетной записи Организации в сервисе «Самба CRM». Учетная запись пользователя создается или предоставляется Организацией; самостоятельная регистрация в Приложении может быть недоступна.
5.2. Часть данных пользователь предоставляет самостоятельно при работе с доступными функциями Приложения, например при отправке обращения или выполнении действий в разделах, разрешенных его ролью.
5.3. Технические данные могут формироваться автоматически при подключении к серверам, авторизации, доставке уведомлений, диагностике ошибок и обеспечении безопасности.

6. Передача данных и привлечение третьих лиц
6.1. Данные пользователя доступны Организации в пределах ее прав и целей использования сервиса. Лицензиар не продает персональные данные пользователей.
6.2. Для работы Приложения Лицензиар может привлекать лиц, обеспечивающих хостинг и инфраструктуру, доставку уведомлений, техническую поддержку, диагностику, связь и иные технологические функции. Передача или поручение обработки осуществляется в необходимом объеме и при наличии предусмотренного законом основания и договорных обязательств по конфиденциальности и защите данных.
6.3. Передача данных государственным органам и иным лицам допускается в случаях и порядке, предусмотренных законодательством Российской Федерации.
6.4. Если конкретный функционал предполагает переход к внешнему платежному или иному сервису, обработка данных таким сервисом дополнительно регулируется его собственными условиями и политикой конфиденциальности, с которыми пользователь знакомится до использования соответствующего сервиса.

7. Локализация, хранение и удаление
7.1. При сборе персональных данных граждан Российской Федерации обеспечивается выполнение требований законодательства Российской Федерации о локализации баз данных.
7.2. Персональные данные обрабатываются не дольше, чем это необходимо для достижения заявленных целей, исполнения поручения Организации и выполнения обязательных требований законодательства.
7.3. Данные, размещенные Организацией в сервисе, хранятся в течение срока использования сервиса Организацией и далее в течение срока, необходимого для завершения обработки, резервного копирования и исполнения обязанностей по удалению, если более длительный срок не требуется по закону или на ином законном основании.
7.4. При достижении цели обработки, прекращении законного основания или получении надлежащего требования об удалении данные удаляются, блокируются или обезличиваются в сроки, установленные законодательством и договорными условиями; если специальный срок не установлен, Лицензиар стремится выполнить удаление в срок не более 30 дней после возникновения соответствующего основания.
7.5. Технические журналы и сведения безопасности хранятся только в течение периода, необходимого для диагностики, предотвращения злоупотреблений и расследования инцидентов, после чего удаляются или обезличиваются, если закон не требует иного.

8. Безопасность данных
8.1. Лицензиар принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.
8.2. Пользователь обязан сохранять конфиденциальность данных для входа и не передавать доступ к своей учетной записи третьим лицам. При подозрении на компрометацию учетной записи следует обратиться к администратору Организации и, при необходимости, в поддержку Самба CRM.

9. Права пользователя и порядок обращений
9.1. Пользователь вправе получать сведения об обработке своих персональных данных, требовать их уточнения, блокирования или удаления, а также реализовывать иные права, предусмотренные законодательством Российской Федерации.
9.2. Если данные были внесены Организацией и обрабатываются Лицензиаром по ее поручению, запрос на изменение или удаление таких данных рекомендуется в первую очередь направлять администратору соответствующей Организации. Лицензиар содействует Организации в исполнении законных требований субъектов персональных данных в предусмотренных законом пределах.
9.3. По вопросам обработки данных непосредственно Лицензиаром, а также по вопросам безопасности и работы Приложения можно обратиться по адресу: info@sambaoffice.ru. Почтовый адрес: 162605, Россия, Вологодская обл., г. Череповец, ул. Первомайская, д. 64, кв. 5.
9.4. Если пользователь считает, что его права нарушены, он вправе обратиться в уполномоченный орган по защите прав субъектов персональных данных или в суд.

10. Уведомления
10.1. Приложение может направлять push-уведомления о событиях, связанных с использованием сервиса. Для их получения используется системное разрешение устройства и технический идентификатор доставки уведомлений.
10.2. Пользователь может запретить уведомления в настройках операционной системы. Отказ от необязательных уведомлений не лишает пользователя доступа к основной функциональности Приложения, если иное объективно не связано с конкретной функцией.

11. Изменение Политики
11.1. Лицензиар вправе изменять настоящую Политику при изменении законодательства, функциональности Приложения или порядка обработки данных. Актуальная редакция размещается по адресу https://sambacrm.ru/app/privacy.
11.2. Новая редакция применяется с даты ее публикации, если в ней не указано иное. Существенные изменения, затрагивающие права пользователей или характер обработки данных, доводятся до сведения пользователей доступным способом.