Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») определяет порядок сбора, систематизации, накопления, хранения, уточнения и защиты персональных данных пользователей программного комплекса Tenderitage (далее — «Платформа», «Оператор»).

1.2. Политика разработана в строгом соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», нормативными актами Роскомнадзора и законодательством Российской Федерации в области защиты информации.

1.3. Использование функционала Платформы, подача запроса на получение кода авторизации или фактический вход в веб-интерфейс означает безоговорочное согласие пользователя с настоящей Политикой и условиями обработки его персональных данных.

2. Правовые основания и принципы обработки

2.1. Правовыми основаниями обработки данных являются:

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 25.06.2002 № 73-ФЗ «Об объектах культурного наследия (памятниках истории и культуры) народов Российской Федерации»;
• Федеральный закон от 05.04.2013 № 44-ФЗ «О контрактной системе в сфере закупок»;
• Согласие субъекта персональных данных на обработку его данных;
• Договоры и соглашения об информационно-аналитическом обслуживании, заключаемые с организациями-лицензиатами Минкульта РФ.

2.2. Обработка ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора данных.

3. Состав и категории обрабатываемых данных

3.1. В рамках защищенного контура авторизации и аудита Платформа обрабатывает следующие категории данных:

• Номер контактного телефона пользователя (в формате связи РФ +7);
• Идентификатор пользователя в мессенджере Telegram (Telegram User ID) — исключительно для передачи одноразовых проверочных OTP-кодов двухфакторной аутентификации;
• Сведения о принадлежности к аккредитованной организации или лицензиату Минкульта РФ (наименование, ИНН компании);
• Технические данные сессии: IP-адрес, тип браузера, время входа, файлы cookie и заголовки запросов, необходимые для противодействия несанкционированному доступу (DDoS/брутфорс).

3.2. Оператор не осуществляет сбор и обработку биометрических данных, специальных категорий данных (расовая, национальная принадлежность, религиозные и философские убеждения), а также сведений о частной жизни субъектов.

4. Цели обработки персональных данных

Персональные данные собираются и обрабатываются исключительно в целях:

• Двухфакторной верификации и предоставления доступа к закрытому аналитическому конвейеру предварительного скоринга закупок;
• Защиты учетных записей от несанкционированного доступа третьих лиц;
• Формирования экспертных отчетов по техническим заданиям, актам ГИКЭ и научно-проектной документации по сохранению объектов культурного наследия;
• Исполнения требований законодательства РФ о хранении логов аутентификации и информационной безопасности.

5. Локализация, хранение и безопасность данных

5.1. В соответствии с ч. 5 ст. 18 Федерального закона № 152-ФЗ, сбор, запись, систематизация, накопление и хранение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся исключительно на территории Российской Федерации.

5.2. Оператор применяет комплекс организационных и программно-технических мер защиты:

• Шифрование каналов связи с использованием криптографических протоколов TLS 1.3 / HTTPS;
• Маскирование телефонных номеров в журналах и интерфейсах (отображение в виде +7 (***) ***-XX-XX);
• Хеширование паролей и сессионных токенов через криптостойкие алгоритмы с солью (SHA-256 / HMAC);
• Ограничение времени жизни одноразовых кодов (не более 180 секунд) и лимитирование частоты запросов;
• Строгое разграничение уровней прав доступа обслуживающего инженерного персонала.

6. Права субъекта персональных данных

Пользователь имеет право:

• Получать сведения, касающиеся обработки его персональных данных Оператором;
• Требовать уточнения, блокирования или уничтожения неполных, устаревших или недостоверных данных;
• В любой момент отозвать данное согласие на обработку персональных данных, направив письменное обращение Оператору;
• Обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

7. Использование файлов cookie

7.1. Платформа использует технические файлы cookie исключительно для поддержания защищенной сессии авторизованного пользователя и сохранения пользовательских настроек фильтрации закупок.

7.2. Файлы cookie не содержат конфиденциальных персональных данных и не передаются третьим лицам или рекламным сетям.