Политика информационной безопасности

1. Общие положения

Настоящая Политика описывает меры, которые индивидуальный предприниматель Зазулин Евгений Александрович, ИНН 390612968266 (далее - Оператор), принимает для защиты данных пользователей сайта zazulin.online (далее - Сайт) и безопасности расчётных операций.

Политика действует совместно с Политикой обработки персональных данных, размещённой на Сайте.

2. Что защищается

• персональные данные пользователей и клиентов, состав которых указан в Политике обработки персональных данных;
• сведения, касающиеся состояния здоровья клиентов, - специальная категория персональных данных;
• данные о платежах: дата, сумма, статус операции, идентификатор операции на стороне платёжного сервиса и причина отказа, если платёж не прошёл;
• содержание переписки Оператора с клиентом по поводу оказания услуги - в части, хранящейся у Оператора; условия хранения сообщений на стороне владельца мессенджера определяются его документами и Оператором не контролируются.

3. Безопасность платёжных операций

3.1. Оплата на Сайте проходит через платёжный сервис (интернет-эквайринг банка). Ввод платёжных данных и подтверждение платежа происходят на странице платёжного сервиса, а не на Сайте; реквизиты банковских карт и счетов Оператору не передаются и им не хранятся (пункт 5.3 Оферты).

3.2. При оплате через Систему быстрых платежей клиент подтверждает платёж в приложении своего банка; реквизиты карты при этом не вводятся вовсе.

3.3. При оплате банковской картой решение о дополнительном подтверждении операции - одноразовым кодом из СМС или в приложении банка - принимает банк, выпустивший карту.

3.4. Переход на страницу платёжного сервиса защищён протоколом TLS - современной заменой устаревшего SSL (о защите соединения с самим Сайтом - раздел 4). Сайт поддерживает 256-битное шифрование: соединение устанавливается по TLS версий 1.2 и 1.3, в числе поддерживаемых шифров - AES-256-GCM; конкретный шифр из поддерживаемых выбирает браузер Клиента. Реквизиты, введённые на странице платёжного сервиса, третьим лицам не предоставляются, за исключением случаев, предусмотренных законодательством Российской Федерации. Передача персональных данных обработчикам описана в Политике обработки персональных данных.

3.5. Проведение платежей по банковским картам осуществляется в строгом соответствии с требованиями платёжных систем МИР, Visa Int. и MasterCard Europe Sprl.

3.6. Реквизиты карт Оператор не принимает, не передаёт и не хранит: они вводятся на странице платёжного сервиса и попадают напрямую в платёжный сервис (интернет-эквайринг банка, пункт 3.1), минуя Сайт и серверы Оператора. Безопасность обработки платежей на стороне платёжного шлюза банка подтверждена соответствием стандарту безопасности данных индустрии платёжных карт PCI DSS; соблюдение стандарта на своей стороне обеспечивает банк.

3.7. Из сведений о платеже Оператор получает и хранит дату, сумму, статус операции, идентификатор операции на стороне платёжного сервиса и причину отказа, если платёж не прошёл. Реквизиты карты в этот перечень не входят и Оператору не передаются. Кассовый чек направляется клиенту в электронной форме на адрес электронной почты либо абонентский номер, указанные им до совершения расчёта.

3.8. Порядок оплаты - последовательность шагов и поля, которые заполняет плательщик, - опубликован на Сайте на странице «Порядок оплаты».

4. Защита Сайта

4.1. Сайт размещён на серверах, находящихся на территории Российской Федерации. Соединение с Сайтом защищено протоколом TLS (HTTPS).

4.2. Формы Сайта передают данные по защищённому соединению.

4.3. Доступ к управлению Сайтом имеет только Оператор. Доступ защищён паролем, хранящимся в менеджере паролей.

5. Организационные меры

5.1. Обеспечение безопасности персональных данных при их обработке осуществляет сам Оператор. Иные лица к обработке не допущены.

5.2. Ведётся перечень мест хранения персональных данных и перечень лиц, допущенных к обработке. На дату редакции доступ к данным клиентов имеет одно лицо - сам Оператор.

5.3. Привлечение любого лица к обработке возможно только после включения его в перечень допущенных лиц и принятия обязательства о конфиденциальности.

5.4. Обработчики привлекаются на основании договора поручения, содержащего требования к защите персональных данных.

5.5. Сведения о состоянии здоровья не передаются в сервисы, с которыми не заключён договор поручения. Во внешние инструменты планирования работы Оператора передаются только метка клиента и признак срочности, без сведений о состоянии здоровья.

5.6. Сведения о состоянии здоровья не передаются через мессенджеры. Клиент вносит их только в формы на Сайте. Если такие сведения поступили Оператору в сообщении от клиента, подписавшего соответствующее согласие, Оператор переносит их в защищённое хранилище и удаляет сообщение на своей стороне; если от лица, не подписавшего согласие, - не сохраняет их и удаляет сообщение. Удаление сообщения на стороне владельца мессенджера и на устройстве клиента Оператором не обеспечивается.

6. Технические меры

6.1. Данные клиентов хранятся на территории Российской Федерации.

6.2. Доступ к хранилищу данных защищён паролем. На устройствах Оператора применяются вход в учётную запись по паролю и автоматическая блокировка экрана при бездействии.

6.3. Устаревшие копии выгрузок с персональными данными подлежат уничтожению; перечень мест хранения проверяется раз в квартал.

6.4. Учётная запись клиента на Сайте одновременно является ключом простой электронной подписи, которой подписывается согласие на обработку сведений о состоянии здоровья. Поэтому Оператор: хранит пароли только в виде необратимого хэша и никогда - в открытом виде; не показывает и не сообщает пароль ни при каких обращениях; ограничивает число неудачных попыток входа; направляет уведомление на адрес электронной почты при смене пароля; передаёт соединение с Сайтом только по защищённому протоколу.

7. Действия при инциденте

7.1. Инцидентом считается неправомерный или случайный доступ к персональным данным, их передача, изменение, уничтожение, а также компрометация доступа к панели управления Сайтом или к хранилищу.

7.2. При инциденте Оператор прекращает доступ к затронутому ресурсу, меняет пароли доступа, устанавливает состав затронутых данных и уведомляет Роскомнадзор: о факте инцидента - в течение 24 часов с момента его выявления, о результатах внутреннего расследования - в течение 72 часов (статья 21 Федерального закона от 27.07.2006 № 152-ФЗ).

7.3. Клиенты, чьи данные затронуты инцидентом, уведомляются по адресу электронной почты учётной записи, а при её отсутствии - по контактам, указанным ими Оператору.

7.4. О подозрении на компрометацию карты клиент обращается в свой банк-эмитент. Оператор карточными данными не располагает и заблокировать карту не может.

8. Что Оператор не делает

• не хранит реквизиты банковских карт;
• не запрашивает у клиента полный номер карты, CVV/CVC и коды из СМС ни в переписке, ни по телефону. Любое такое обращение от имени Оператора является мошенничеством;
• не передаёт персональные данные третьим лицам для целей рекламы;
• не публикует сведения о клиентах без отдельного согласия на обработку персональных данных, разрешённых субъектом для распространения; сведения о состоянии здоровья не публикует ни при каких условиях, в том числе в обезличенном пересказе, позволяющем опознать клиента.

9. Что рекомендуется клиенту

• не сообщать никому CVV/CVC и коды подтверждения из СМС;
• беречь доступ к почте и паролю от учётной записи на Сайте: ими подписываются документы, и через них открываются сведения о здоровье. Пароль не должен повторять пароли от других сервисов;
• сохранять кассовый чек и подтверждение оплаты.

10. Изменения и контакты

Оператор вправе изменять настоящую Политику; действующая редакция всегда доступна на этой странице. Вопросы по безопасности - на адрес Zazulin.training@yandex.ru.