1. Общие положения
1.1. Настоящая Политика разработана во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет цели, правовые основания, условия и порядок обработки персональных данных, а также меры по обеспечению их безопасности, применяемые Обществом с ограниченной ответственностью «ГЕНЛИД» (ОГРН 1256700002173, ИНН 6700029359, адрес: 214022, Россия, Смоленская область, г. Смоленск, ул. Карбышева, д. 15А, стр. 2, помещ. К23; далее — Оператор).
1.2. Политика распространяется на персональные данные, которые Оператор получает при использовании физическими лицами сайта https://leano.pro/ и его поддоменов, в том числе квиза https://quiz.leano.pro/ (далее — Сайт), и веб-приложения Leano, доступного по адресу https://app.leano.pro/ (далее — Приложение; Сайт и Приложение совместно — Сервис), при обращении в службу поддержки, а также в связи с исполнением обязанностей, возложенных на Оператора законодательством.
1.3. Политика действует в отношении персональных данных, полученных как до, так и после её утверждения. Политика публикуется в свободном доступе на Сайте (ч. 2 ст. 18.1 Закона) и является обязательной для работников Оператора и лиц, обрабатывающих персональные данные по его поручению.
1.4. Пользовательское соглашение (публичная оферта) Сервиса, размещённое на Сайте, определяет порядок использования Сервиса и не регулирует обработку персональных данных, за исключением соглашения об использовании простой электронной подписи (п. 5.3 Пользовательского соглашения).
2. Термины
2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
2.2. Обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
2.3. Оператор — ООО «ГЕНЛИД», самостоятельно организующее и осуществляющее обработку персональных данных и определяющее её цели, состав данных и совершаемые с ними действия.
2.4. Субъект персональных данных (далее также — Пользователь) — физическое лицо, к которому относятся персональные данные.
2.5. Специальные категории персональных данных — данные, касающиеся, в частности, состояния здоровья субъекта (ст. 10 Закона).
2.6. Трансграничная передача — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу.
2.7. Блокирование — временное прекращение обработки (кроме случаев, когда обработка необходима для уточнения данных). Уничтожение — действия, в результате которых восстановить содержание персональных данных в информационной системе становится невозможным. Обезличивание — действия, в результате которых без дополнительной информации невозможно определить принадлежность данных конкретному субъекту.
2.8. Файлы cookie — небольшие файлы, сохраняемые Сервисом на устройстве Пользователя, а также аналогичные технологии (localStorage, идентификаторы устройства и сессии).
3. Правовые основания обработки
3.1. Обработка персональных данных осуществляется на основании: Конституции РФ; Гражданского кодекса РФ; Закона; Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Закона РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»; Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»; Налогового кодекса РФ; Федерального закона от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники»; Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»; Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи»; постановления Правительства РФ от 01.11.2012 № 1119; приказа ФСТЭК России от 18.02.2013 № 21; Пользовательского соглашения (лицензионного договора) с Пользователем; согласий субъектов персональных данных.
3.2. Конкретные правовые основания (ч. 1 ст. 6 Закона) указаны для каждой цели обработки в разделе 4: заключение и исполнение договора, стороной которого является субъект (п. 5); исполнение возложенных на Оператора законом обязанностей (п. 2); осуществление прав и законных интересов Оператора при условии ненарушения прав субъекта (п. 7); согласие субъекта (п. 1). Специальные категории персональных данных Оператор не обрабатывает (раздел 5).
4. Цели обработки, категории субъектов, состав персональных данных, сроки
4.1. Оператор обрабатывает персональные данные следующих категорий субъектов: Пользователи Сервиса (зарегистрированные и оформившие Подписку); посетители Сайта; лица, обратившиеся в службу поддержки; работники Оператора и контрагенты — физические лица (обработка их данных регулируется локальными актами Оператора и настоящей Политикой не детализируется).
4.2. Оператор не обрабатывает биометрические персональные данные. Фотографии блюд, загружаемые Пользователем, не используются для установления личности. Оператор не обрабатывает данные о расовой и национальной принадлежности, политических взглядах, религиозных или философских убеждениях, интимной жизни. Оператор не обрабатывает персональные данные лиц младше 18 лет: Сервис не предназначен для таких лиц, а при выявлении учётной записи несовершеннолетнего она удаляется.
4.3. Цели, состав данных, основания и сроки обработки:
| Цель обработки | Персональные данные | Правовое основание | Срок обработки |
|---|---|---|---|
| Регистрация и ведение учётной записи, идентификация Пользователя, исполнение Пользовательского соглашения, техническая поддержка | Адрес электронной почты; имя (при указании); пароль (в хэшированном виде); идентификатор учётной записи; дата регистрации; язык и страна; сведения об устройстве и браузере, IP-адрес, дата и время входа; содержание обращений в поддержку | п. 5 ч. 1 ст. 6 Закона (договор) | До удаления учётной записи, далее — 30 дней (ч. 4 ст. 21 Закона). Обращения в поддержку — 3 года с даты обращения |
| Предоставление функций Сервиса: расчёт индивидуальной нормы калорий и нутриентов, учёт питания и веса, распознавание блюд по фотографии, подбор рецептов, отслеживание прогресса | Пол, дата рождения (возраст), рост, вес и его динамика, целевой вес, уровень физической активности; пищевые предпочтения и исключаемые из рациона продукты; фотографии блюд и записи о приёмах пищи; рассчитанные показатели (ИМТ, целевые значения) | п. 5 ч. 1 ст. 6 Закона (договор) | До удаления учётной записи, далее — 30 дней (ч. 4 ст. 21 Закона) |
| Оформление и оплата Подписки, возвраты, направление кассовых чеков, бухгалтерский и налоговый учёт | Адрес электронной почты; сведения о платеже (сумма, дата, идентификатор операции, статус, последние 4 цифры и платёжная система карты, предоставляемые платёжным сервисом); сведения о Подписке и возвратах. Полные реквизиты банковской карты Оператору не передаются | п. 5 ч. 1 ст. 6 (договор); п. 2 ч. 1 ст. 6 Закона (ст. 29 Федерального закона № 402-ФЗ, пп. 8 п. 1 ст. 23 НК РФ, Федеральный закон № 54-ФЗ) | 5 лет с окончания года, в котором совершена операция |
| Обеспечение безопасности и работоспособности Сервиса, предотвращение мошенничества и злоупотреблений, расследование инцидентов | IP-адрес, идентификаторы устройства и сессии, сведения о браузере и операционной системе, журналы событий (даты, время и типы действий в Сервисе, ошибки) | п. 7 ч. 1 ст. 6 Закона (законные интересы Оператора) | 12 месяцев с даты записи |
| Аналитика использования Сервиса, оценка эффективности функций и маркетинговых кампаний, улучшение Сервиса | Идентификаторы пользователя и устройства, файлы cookie, сведения о браузере, операционной системе, разрешении экрана, языке, источнике перехода, события использования Сервиса (просмотры экранов, нажатия, факты оформления Подписки без платёжных реквизитов) | п. 1 ч. 1 ст. 6 Закона (согласие, выражаемое в баннере cookie / настройках Приложения) | До отзыва согласия, но не более 12 месяцев с даты сбора; далее — в обезличенном виде |
| Направление информационных и рекламных сообщений о Сервисе (рассылки по электронной почте, push-уведомления рекламного характера) | Адрес электронной почты, имя, идентификатор для push-уведомлений, сведения о реакции на сообщения | п. 1 ч. 1 ст. 6 Закона (отдельное согласие); ч. 1 ст. 18 Федерального закона № 38-ФЗ | До отзыва согласия или удаления учётной записи |
| Рассмотрение обращений субъектов персональных данных, претензий, защита прав в суде | Фамилия, имя, отчество; данные документа, удостоверяющего личность (в объёме ч. 3 ст. 14 Закона); контактные данные; содержание обращения и ответ на него | п. 2 ч. 1 ст. 6 (ст. 14, 20 Закона); п. 7 ч. 1 ст. 6 Закона | 3 года с даты ответа; при наличии спора — до его завершения и истечения срока исковой давности |
4.4. Объём обрабатываемых данных ограничен необходимым для достижения указанных целей. Предоставление данных, отмеченных в формах Сервиса как обязательные, необходимо для заключения и исполнения договора; отказ от их предоставления влечёт невозможность использования соответствующих функций. Отказ от согласия на аналитические файлы cookie не ограничивает доступ к функциям Сервиса.
4.5. Оператор не принимает на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия для субъекта или иным образом затрагивающих его права и законные интересы (ст. 16 Закона). Рассчитываемые Сервисом показатели носят справочный характер.
5. Данные о параметрах тела. Специальные категории персональных данных
5.1. Оператор не собирает и не обрабатывает сведения о состоянии здоровья субъектов (ст. 10 Закона). Ответы Пользователя на вопросы анкеты о состояниях, при которых использование Сервиса не рекомендуется (беременность, грудное вскармливание, расстройства пищевого поведения, сахарный диабет и иные), обрабатываются исключительно на устройстве Пользователя для вывода предупреждения о необходимости консультации с врачом, Оператору не передаются и в информационных системах Сервиса не сохраняются.
5.2. Пол, возраст, рост, вес, целевой вес и уровень физической активности обрабатываются как антропометрические параметры, необходимые для расчёта индивидуальной нормы калорий и нутриентов в рамках договора с Пользователем. Эти данные хранятся только на серверах Оператора, не передаются поставщикам ИИ-моделей, в системы аналитики и маркетинга и не используются для иных целей. Доступ к ним имеют только работники Оператора, которым он необходим для технической поддержки и обеспечения работы Сервиса.
5.3. Ограничения по продуктам фиксируются как пищевые предпочтения Пользователя (перечень исключаемых продуктов) без указания причин исключения; сведения о причинах Оператором не запрашиваются.
6. Порядок и условия обработки. Передача третьим лицам
6.1. Обработка осуществляется автоматизированным способом с использованием информационных систем Сервиса, а в части обращений субъектов и документов бухгалтерского учёта — смешанным способом. Совершаемые действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Распространение персональных данных (раскрытие неопределённому кругу лиц) не осуществляется.
6.2. Персональные данные получаются непосредственно от субъекта при регистрации, заполнении форм, использовании функций Сервиса и обращении в поддержку, а также автоматически при использовании Сервиса (технические данные и файлы cookie). Оператор не получает персональные данные Пользователей из иных источников.
6.3. Оператор поручает обработку персональных данных третьим лицам на основании договоров, содержащих перечень действий с данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность данных, требования к их защите (ч. 3 ст. 6 Закона). Ответственность перед субъектом за действия таких лиц несёт Оператор (ч. 5 ст. 6 Закона). Перечень лиц, которым поручена обработка, и получателей данных:
| Получатель | Страна | Цель передачи и состав данных | Основание |
|---|---|---|---|
| Хостинг-провайдер Timeweb (ООО «Таймвэб») | Россия | Размещение инфраструктуры Сервиса и баз данных; все категории данных раздела 4 | Поручение оператора (ч. 3 ст. 6) |
| Платёжный сервис ЮKassa (ООО НКО «ЮМани») | Россия | Приём платежей, возвраты, формирование кассовых чеков; адрес электронной почты, сумма и идентификатор платежа | Самостоятельный оператор в части платёжных данных; договор с Оператором |
| Сервис веб-аналитики Яндекс.Метрика (ООО «Яндекс») | Россия | Аналитика использования Сервиса (п. 4.3); идентификаторы, файлы cookie, технические данные, события использования | Поручение оператора; согласие субъекта |
| Государственные органы (ФНС России, суды, правоохранительные органы, Роскомнадзор) | Россия | Исполнение обязанностей, возложенных законом; по мотивированным запросам в установленном порядке | п. 2 ч. 1 ст. 6 Закона |
6.4. Оператор не продаёт персональные данные и не передаёт их третьим лицам для их собственных маркетинговых целей.
6.5. Работники Оператора, имеющие доступ к персональным данным, ознакомлены с законодательством о персональных данных, настоящей Политикой и локальными актами Оператора и обязаны соблюдать конфиденциальность персональных данных (ст. 7 Закона).
7. Трансграничная передача персональных данных
7.1. Все лица, которым поручена обработка персональных данных (п. 6.3), находятся на территории Российской Федерации. Базы данных Сервиса размещены на территории Российской Федерации (ч. 5 ст. 18 Закона). Трансграничная передача персональных данных не осуществляется.
7.2. В случае привлечения иностранного получателя (в том числе поставщика моделей искусственного интеллекта) Оператор до начала передачи направляет в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу, получает от получателя сведения о принимаемых им мерах защиты персональных данных (ст. 12 Закона), вносит получателя в п. 6.3 и публикует новую редакцию Политики. Передача на территорию государств, не обеспечивающих адекватную защиту прав субъектов, осуществляется только при наличии оснований, предусмотренных ст. 12 Закона.
7.3. Сведения об осуществлённой или предполагаемой трансграничной передаче предоставляются субъекту по запросу в порядке раздела 10.
8. Файлы cookie и аналитика
8.1. Сервис использует файлы cookie следующих категорий: технически необходимые (аутентификация, сохранение сессии и настроек, безопасность) — используются без согласия, так как без них Сервис не работает; аналитические (Яндекс.Метрика) — используются только после согласия Пользователя.
8.2. При первом посещении Сайта или запуске Приложения Пользователю отображается уведомление с возможностью принять или отклонить аналитические файлы cookie. Отклонение не ограничивает доступ к Сервису. Аналитические скрипты загружаются только после получения согласия. Выбор Пользователя сохраняется и может быть изменён в настройках Сервиса или путём удаления файлов cookie в браузере.
8.3. Сайт может содержать ссылки на ресурсы третьих лиц; Политика не распространяется на обработку данных такими ресурсами.
9. Прекращение обработки и уничтожение персональных данных
9.1. Персональные данные уничтожаются или обезличиваются (ст. 21 Закона):
- а) по достижении цели обработки или утрате необходимости в её достижении — в течение 30 дней, если иной срок не установлен договором или законом (ч. 4 ст. 21);
- б) при отзыве согласия, если обработка не может быть продолжена по иному основанию, — в течение 30 дней с даты поступления отзыва (ч. 5 ст. 21);
- в) при получении требования о прекращении обработки — в течение 10 рабочих дней с даты получения требования; срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта (ч. 5.1 ст. 21);
- г) при выявлении неправомерной обработки, устранить которую невозможно, — в течение 10 рабочих дней с даты выявления (ч. 3 ст. 21).
9.2. Данные, срок хранения которых установлен законодательством о бухгалтерском и налоговом учёте, хранятся в течение установленного срока с ограничением доступа и уничтожаются по его истечении.
9.3. Уничтожение данных в информационных системах производится путём удаления записей и резервных копий способами, исключающими восстановление; факт уничтожения оформляется актом и (или) выгрузкой из журнала событий информационной системы в соответствии с требованиями Роскомнадзора к подтверждению уничтожения персональных данных.
10. Права субъектов персональных данных и порядок их реализации
10.1. Субъект персональных данных вправе (ст. 14, 15, 17, 20, 21 Закона):
- а) получить подтверждение факта обработки его персональных данных, сведения о правовых основаниях и целях обработки, способах обработки, наименовании и месте нахождения Оператора, лицах, имеющих доступ к данным, перечне обрабатываемых данных и источнике их получения, сроках обработки и хранения, порядке осуществления прав, об осуществлённой или предполагаемой трансграничной передаче, о лицах, обрабатывающих данные по поручению Оператора;
- б) требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- в) отозвать согласие на обработку персональных данных в любой момент;
- г) требовать прекращения обработки персональных данных;
- д) возражать против обработки в целях продвижения товаров, работ и услуг;
- е) обжаловать действия или бездействие Оператора в Роскомнадзор или в суд, требовать возмещения убытков и компенсации морального вреда.
10.2. Запросы и обращения направляются Оператору: по электронной почте support@leano.pro с темой «Персональные данные» (с адреса электронной почты, указанного в Учётной записи, либо в форме электронного документа, подписанного электронной подписью); почтовым отправлением по адресу: 214022, Россия, Смоленская область, г. Смоленск, ул. Карбышева, д. 15А, стр. 2, помещ. К23.
10.3. Запрос субъекта должен содержать (ч. 3 ст. 14 Закона): фамилию, имя, отчество; номер основного документа, удостоверяющего личность, сведения о дате его выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (адрес электронной почты Учётной записи, дата регистрации, идентификатор платежа) либо иным образом подтверждающие факт обработки; подпись субъекта или его представителя. К запросу представителя прилагается документ, подтверждающий полномочия.
10.4. Для отзыва согласия и удаления учётной записи достаточно обращения с адреса электронной почты Учётной записи или использования функции удаления в настройках Приложения.
10.5. Сроки реагирования Оператора: предоставление сведений или мотивированного отказа — 10 рабочих дней с даты получения запроса, срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта (ч. 1 ст. 20 Закона); уточнение неточных данных — 7 рабочих дней с даты представления сведений (ч. 2 ст. 21); блокирование неправомерно обрабатываемых данных — с момента обращения на период проверки (ч. 1 ст. 21); прекращение неправомерной обработки — 3 рабочих дня (ч. 3 ст. 21); прекращение обработки и уничтожение при отзыве согласия и по требованию субъекта — в сроки, указанные в п. 9.1. Повторный запрос о тех же сведениях может быть направлен не ранее чем через 30 дней после первоначального, если иное не установлено законом (ч. 4 ст. 14).
10.6. Сведения предоставляются в доступной форме и не содержат персональных данных других субъектов, за исключением случаев, когда имеются законные основания для их раскрытия. Оператор ведёт журнал учёта обращений субъектов персональных данных.
10.7. Контакты уполномоченного органа по защите прав субъектов персональных данных: Роскомнадзор, 109992, г. Москва, Китайгородский пр., д. 7, стр. 2; https://rkn.gov.ru/.
11. Меры по обеспечению безопасности персональных данных
11.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (ст. 18.1, 19 Закона), в том числе:
- а) назначено лицо, ответственное за организацию обработки персональных данных (ч. 1 ст. 22.1 Закона); контакт: support@leano.pro, тема «Персональные данные»;
- б) изданы локальные акты по вопросам обработки и защиты персональных данных, установлены правила доступа и порядок реагирования на инциденты; работники ознакомлены с ними под подпись;
- в) определены угрозы безопасности персональных данных и уровень защищённости информационной системы в соответствии с постановлением Правительства РФ № 1119; применяются меры, предусмотренные приказом ФСТЭК России № 21 для установленного уровня защищённости;
- г) разграничен доступ работников к персональным данным по принципу минимальной необходимости; используются индивидуальные учётные записи и многофакторная аутентификация для доступа к административным интерфейсам; действия с персональными данными регистрируются;
- д) данные передаются по защищённым каналам (TLS) и хранятся в зашифрованном виде; пароли хранятся только в хэшированном виде;
- е) выполняется резервное копирование, обеспечивающее восстановление данных, изменённых или уничтоженных вследствие несанкционированного доступа;
- ж) с лицами, обрабатывающими данные по поручению Оператора, заключены договоры с условиями о конфиденциальности и защите персональных данных; проводится оценка таких лиц;
- з) осуществляется внутренний контроль соответствия обработки персональных данных Закону и Политике, оценка вреда, который может быть причинён субъектам в случае нарушения Закона.
11.2. При установлении факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор в течение 24 часов уведомляет Роскомнадзор об инциденте, а в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента (ч. 3.1 ст. 21 Закона), и взаимодействует с ГосСОПКА в установленном порядке.
12. Заключительные положения
12.1. Политика действует бессрочно до утверждения новой редакции. Политика пересматривается при изменении законодательства, целей, состава данных, получателей или способов обработки, но не реже одного раза в год.
12.2. Новая редакция публикуется на Сайте с указанием даты утверждения; Пользователи уведомляются о существенных изменениях по электронной почте или в Приложении.
12.3. Лица, виновные в нарушении требований Закона и Политики, несут ответственность, предусмотренную законодательством Российской Федерации.
12.4. Вопросы по Политике направляются на support@leano.pro.
| Оператор | Общество с ограниченной ответственностью «ГЕНЛИД» |
|---|---|
| ОГРН / ИНН | 1256700002173 / 6700029359 |
| Адрес юридический и почтовый | 214022, Россия, Смоленская область, г. Смоленск, ул. Карбышева, д. 15А, стр. 2, помещ. К23 |
| Телефон | +7 915 658-18-21 |
| Электронная почта | studiogenlid@gmail.com; по вопросам персональных данных — support@leano.pro |
См. также Пользовательское соглашение.