Политика обработки персональных данных

В Политике используются термины в значении Федерального закона № 152-ФЗ, а также:

• Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
• Блокирование персональных данных — временное прекращение обработки персональных данных (кроме случаев, когда обработка нужна для уточнения данных).
• Сайт / Платформа — сайт flowx.ru, личный кабинет, API, облачная инфраструктура, MQTT-контур, мобильные приложения iOS/Android, прошивки и связанные сервисы под брендом FlowX.
• Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
• Обезличивание персональных данных — действия, в результате которых невозможно определить без дополнительной информации принадлежность персональных данных конкретному субъекту.
• Обработка персональных данных — любое действие или совокупность действий с персональными данными с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.
• Оператор — Компания, самостоятельно или совместно с другими лицами организующая и/или осуществляющая обработку персональных данных и определяющая цели и состав такой обработки.
• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому Пользователю Платформы.
• Пользователь / субъект персональных данных — посетитель Сайта, пользователь приложения, владелец Аккаунта, покупатель оборудования/услуг и иное лицо, чьи персональные данные обрабатывает Компания.
• Телеметрия — данные с IoT-устройства FlowX и о его работе: расход, TDS и иные показания, состояние регенерации, заряд, качество связи, события, логи, настройки.
• Предоставление / распространение / трансграничная передача / уничтожение персональных данных — в значениях, установленных 152-ФЗ.

2.1. Назначение

Политика определяет принципы, цели, порядок и условия обработки персональных данных клиентов и пользователей Платформы, а также меры по обеспечению их безопасности.

2.2. Сфера действия

Политика распространяется на отношения по обработке информации ограниченного доступа, относящейся к персональным данным, и применяется к работникам и подрядчикам Компании, имеющим доступ к таким данным.

2.3. Публичность и изменения

Политика является общедоступным документом и размещается по адресу https://flowx.ru/privacy. Компания вправе в одностороннем порядке изменять Политику; актуальная редакция вступает в силу с даты, указанной в документе, если иное не предусмотрено законом. Рекомендуем периодически проверять страницу.

2.4. Соотношение с иными документами

Обработка данных также регулируется Условиями использования. Во всём, что не предусмотрено Политикой, Компания руководствуется законодательством РФ.

Обработка персональных данных осуществляется на основе принципов:

• законности и справедливости;
• ограничения обработки достижением конкретных, заранее определённых и законных целей;
• недопущения обработки, несовместимой с целями сбора;
• недопущения объединения баз данных с несовместимыми целями обработки;
• соответствия содержания и объёма данных заявленным целям и недопущения избыточности;
• обеспечения точности, достаточности и актуальности данных, а также мер по удалению или уточнению неполных/неточных данных;
• прозрачности: субъекту может предоставляться информация об обработке его данных;
• хранения в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки (если иной срок не установлен законом или договором).

Компания обрабатывает персональные данные в целях осуществления законной деятельности, в том числе:

• регистрации и обслуживания Аккаунта, аутентификации, восстановления доступа;
• предоставления облачного сервиса мониторинга и управления Устройствами, доставки Телеметрии, уведомлений, обновлений прошивки;
• заключения и исполнения договоров купли-продажи оборудования (IoT-плата), подписки на облачные тарифы, заказов на Маркетплейсе;
• приёма оплаты, возвратов, направления чеков и уведомлений об автопродлении;
• доставки товаров, связи по заказам и претензиям;
• техподдержки, диагностики, безопасности Платформы и предотвращения злоупотреблений;
• ответов на обращения (формы на сайте, email, тикеты);
• улучшения продукта на основе обезличенной статистики и технических логов;
• исполнения обязанностей по закону (бухучёт, налоги, ответы на запросы госорганов);
• направления сервисных и (при отдельном согласии) информационных сообщений.

5.1. Субъекты

• посетители Сайта и пользователи мобильных приложений;
• зарегистрированные Пользователи (владельцы Аккаунтов) и лица, которым выдан доступ (гости, сервис, сотрудники);
• покупатели оборудования и плательщики подписки;
• контрагенты и их представители (магазины, сервисы, интеграторы), а также работники таких контрагентов в пределах, необходимых для сотрудничества;
• иные лица, чьи данные обрабатываются на законных основаниях.

5.2. Состав обрабатываемых данных

В зависимости от сценария могут обрабатываться:

• идентификационные и контактные: имя/ФИО, email, телефон, логин;
• данные Аккаунта: роли, настройки, история действий в интерфейсе;
• адресные: адрес доставки, город, индекс (при заказе оборудования);
• платёжные метаданные: статус оплаты, идентификаторы платежей платёжного провайдера, маска карты/способ оплаты — без хранения полных реквизитов карты Компанией (их обрабатывает платёжный партнёр);
• данные Устройств и Телеметрия: идентификаторы устройств, показания датчиков, события, логи связи и прошивки;
• технические: IP-адрес, данные cookies/локального хранилища, тип устройства и ОС, версия приложения, идентификаторы для push-уведомлений;
• переписка со службой поддержки и вложения, которые вы направляете.

Специальные категории персональных данных (о здоровье, биометрия и т.п.) Компания целенаправленно не собирает. Показатели качества воды (например TDS) относятся к работе Устройства и объекта, а не к состоянию здоровья Пользователя.

5.3. Источники

Данные поступают от вас (формы, Аккаунт, заказ), с Устройств, от платёжных и инфраструктурных партнёров в объёме, необходимом для сервиса, а также из общедоступных источников — только если это допускается законом.

6.1. Правовые основания

Обработка осуществляется при наличии одного или нескольких оснований, предусмотренных ст. 6 152-ФЗ, в том числе:

• согласие субъекта;
• исполнение договора, стороной / выгодоприобретателем / поручителем по которому является субъект, либо заключение договора по его инициативе;
• исполнение обязанностей, возложенных на Оператора законодательством РФ;
• осуществление прав и законных интересов Оператора или третьих лиц при условии, что не нарушаются права и свободы субъекта;
• иные основания, прямо предусмотренные законом.

6.2. Сроки

• по согласию — в течение срока согласия либо до его отзыва (если нет иного законного основания продолжать обработку);
• по договору — в течение срока договора и сроков, установленных законом для хранения (в т.ч. бухгалтерских и налоговых документов);
• технические логи и Телеметрия для сервиса — в сроки, необходимые для оказания услуги, поддержки и безопасности, после чего удаляются или обезличиваются;
• по законным интересам — пока сохраняется соответствующая цель, с учётом принципов минимизации.

6.3. Действия с данными

Компания осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных — автоматизированно и/или без средств автоматизации, в том числе с передачей по сетям связи.

6.4. Поручение обработки и передача

Компания вправе поручить обработку другому лицу на основании договора (поручения) с соблюдением 152-ФЗ; ответственность перед субъектом за действия такого лица несёт Компания, а исполнитель — перед Компанией. Перечень типовых получателей — в разделе «Третьи лица».

Включение данных в общедоступные источники возможно только при наличии требований закона либо письменного согласия субъекта.

6.5. Прекращение и уничтожение

Обработка прекращается при достижении целей, истечении сроков, отзыве согласия (если нет иного основания) или по требованию закона. Уничтожение электронных данных выполняется способами, исключающими восстановление содержания; бумажные носители — при наличии — уничтожаются с фиксацией факта уничтожения.

Удаление Аккаунта описано на странице поддержки. Данные, которые Компания обязана хранить по закону, могут сохраняться в необходимом объёме и сроки.

При обработке персональных данных Компания принимает правовые, организационные и технические меры для защиты от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

К таким мерам, в частности, относятся:

• определение угроз безопасности при обработке в информационных системах;
• применение организационных и технических мер, необходимых для установленных уровней защищённости;
• использование защищённых каналов передачи (HTTPS/TLS) и разграничение доступа;
• обнаружение и реагирование на факты несанкционированного доступа;
• восстановление данных, изменённых или уничтоженных вследствие инцидента — в разумных пределах;
• правила доступа, учёт действий в системах, контроль мер защиты;
• обучение и обязанность конфиденциальности для работников и подрядчиков с доступом к данным;
• регулярный пересмотр мер с учётом актуальных угроз.

Абсолютную безопасность передачи данных через Интернет гарантировать невозможно; вы обязаны сохранять конфиденциальность паролей и устройств входа.

Для целей Платформы данные могут передаваться (предоставляться) следующим категориям получателей в необходимом объёме:

• платёжные провайдеры (в частности Т‑Банк / T‑Bank) — приём оплаты, возвраты, антифрод;
• хостинг, облачная инфраструктура, email/SMS и push-провайдеры (в т.ч. Apple, Google) — размещение сервиса и доставка уведомлений;
• службы доставки и перевозчики — при отправке оборудования;
• партнёры Маркетплейса (магазины, сервисы) — если вы оформляете заказ или выдаёте им доступ к своим данным/телеметрии;
• госорганы — по основаниям и в объёме, предусмотренным законом.

Компания не продаёт персональные данные как товар. Актуальный перечень конкретных контрагентов может уточняться; при существенном изменении практики обработки мы обновляем Политику.

Субъект вправе получить информацию об обработке своих данных, в том числе о факте обработки, правовых основаниях и целях, способах обработки, наименовании и месте нахождения Оператора, лицах, имеющих доступ к данным, составе обрабатываемых данных и источнике их получения, сроках обработки и хранения, порядке осуществления прав, сведениях о трансграничной передаче, о лице, обрабатывающем данные по поручению Оператора, и иные сведения, предусмотренные 152-ФЗ.

Также субъект вправе:

• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку (при этом обработка может продолжаться при наличии иных законных оснований);
• обжаловать действия или бездействие Компании в Роскомнадзор или в суд;
• удалить Аккаунт в порядке, указанном на странице поддержки.

Запросы направляйте на privacy@flowx.ru. Мы отвечаем в сроки, установленные 152-ФЗ. Для защиты ваших данных можем запросить подтверждение личности.

Сайт и приложения могут использовать cookies, локальное хранилище и сходные технологии для:

• аутентификации и поддержания сессии входа в кабинет (cookie flowx.sid, срок жизни до 24 часов с продлением при активности);
• фиксации согласия на использование cookies (cookie flowx_cookie_consent, срок жизни 180 дней — по истечении запрос согласия показывается снова);
• работы форм с защитой от ботов (cookies/токены провайдера капчи, если виджет включён);
• запоминания настроек интерфейса;
• обеспечения безопасности и устойчивости сервиса;
• аналитики использования в обезличенном или агрегированном виде — если такая аналитика подключена.

При первом посещении Сайта мы показываем уведомление о cookies. Нажатие «Согласен» сохраняет согласие в cookie на 180 дней. Вы можете удалить cookies в настройках браузера; часть функций Платформы (в том числе вход в кабинет) при этом может стать недоступной.

По умолчанию Компания стремится обрабатывать и хранить данные с использованием инфраструктуры, доступной для оказания сервиса Пользователям в РФ. Отдельные элементы сервиса (например доставка push через Apple/Google, отдельные облачные компоненты) могут предполагать передачу технических идентификаторов и связанных данных на территорию иностранных государств.

Такая передача осуществляется при наличии правовых оснований и с соблюдением требований 152-ФЗ. При существенном изменении практики трансграничной передачи Политика обновляется.

Компания несёт ответственность за соответствие порядка обработки и обеспечения безопасности персональных данных законодательству РФ в пределах, им установленных.

Работники и подрядчики, допущенные к обработке, обязаны соблюдать Политику и локальные акты Компании. О ставших известными нарушениях необходимо сообщать ответственному за организацию обработки персональных данных / на privacy@flowx.ru.

По фактам нарушений проводятся разбирательства; при наличии признаков правонарушения Компания вправе обратиться в компетентные органы.

По вопросам обработки и защиты персональных данных: privacy@flowx.ru.

Поддержка продукта и удаление Аккаунта: flowx.ru/support, support@flowx.ru.

Условия использования Платформы: flowx.ru/terms.

Реквизиты Оператора — в чеке, договоре или по запросу на указанные адреса.