Политика информационной безопасности

1. Общие положения

Настоящая Политика описывает меры, которые индивидуальный предприниматель Зазулин Евгений Александрович, ИНН 390612968266 (далее - Оператор), принимает для защиты данных пользователей сайта zazulin.online (далее - Сайт) и безопасности расчётных операций.

Политика действует совместно с Политикой обработки персональных данных, размещённой на Сайте.

2. Что защищается

• персональные данные пользователей и клиентов, состав которых указан в Политике обработки персональных данных;
• сведения, касающиеся состояния здоровья клиентов, - специальная категория персональных данных;
• данные о платежах: дата, сумма, статус операции;
• содержание переписки Оператора с клиентом по поводу оказания услуги - в части, хранящейся у Оператора; условия хранения сообщений на стороне владельца мессенджера определяются его документами и Оператором не контролируются.

3. Защита Сайта

3.1. Сайт размещён на серверах, находящихся на территории Российской Федерации. Соединение с Сайтом защищено протоколом TLS (HTTPS).

3.2. Формы Сайта передают данные по защищённому соединению.

3.3. Доступ к управлению Сайтом имеет только Оператор. Доступ защищён паролем, хранящимся в менеджере паролей.

4. Организационные меры

4.1. Обеспечение безопасности персональных данных при их обработке осуществляет сам Оператор. Иные лица к обработке не допущены.

4.2. Ведётся перечень мест хранения персональных данных и перечень лиц, допущенных к обработке. На дату редакции доступ к данным клиентов имеет одно лицо - сам Оператор.

4.3. Привлечение любого лица к обработке возможно только после включения его в перечень допущенных лиц и принятия обязательства о конфиденциальности.

4.4. Обработчики привлекаются на основании договора поручения, содержащего требования к защите персональных данных.

4.5. Сведения о состоянии здоровья не передаются в сервисы, с которыми не заключён договор поручения. Во внешние инструменты планирования работы Оператора передаются только метка клиента и признак срочности, без сведений о состоянии здоровья.

4.6. Сведения о состоянии здоровья не передаются через мессенджеры. Клиент вносит их только в формы на Сайте. Если такие сведения поступили Оператору в сообщении от клиента, подписавшего соответствующее согласие, Оператор переносит их в защищённое хранилище и удаляет сообщение на своей стороне; если от лица, не подписавшего согласие, - не сохраняет их и удаляет сообщение. Удаление сообщения на стороне владельца мессенджера и на устройстве клиента Оператором не обеспечивается.

5. Технические меры

5.1. Данные клиентов хранятся на территории Российской Федерации.

5.2. Доступ к хранилищу данных защищён паролем. На устройствах Оператора применяются вход в учётную запись по паролю и автоматическая блокировка экрана при бездействии.

5.3. Устаревшие копии выгрузок с персональными данными подлежат уничтожению; перечень мест хранения проверяется раз в квартал.

5.4. Учётная запись клиента на Сайте одновременно является ключом простой электронной подписи, которой подписывается согласие на обработку сведений о состоянии здоровья. Поэтому Оператор: хранит пароли только в виде необратимого хэша и никогда - в открытом виде; не показывает и не сообщает пароль ни при каких обращениях; ограничивает число неудачных попыток входа; направляет уведомление на адрес электронной почты при смене пароля; передаёт соединение с Сайтом только по защищённому протоколу.

6. Действия при инциденте

6.1. Инцидентом считается неправомерный или случайный доступ к персональным данным, их передача, изменение, уничтожение, а также компрометация доступа к панели управления Сайтом или к хранилищу.

6.2. При инциденте Оператор прекращает доступ к затронутому ресурсу, меняет пароли доступа, устанавливает состав затронутых данных и уведомляет Роскомнадзор: о факте инцидента - в течение 24 часов с момента его выявления, о результатах внутреннего расследования - в течение 72 часов (статья 21 Федерального закона от 27.07.2006 № 152-ФЗ).

6.3. Клиенты, чьи данные затронуты инцидентом, уведомляются по контактам, указанным ими при заполнении анкеты.

6.4. О подозрении на компрометацию карты клиент обращается в свой банк-эмитент. Оператор карточными данными не располагает и заблокировать карту не может.

7. Что Оператор не делает

• не хранит реквизиты банковских карт;
• не запрашивает у клиента полный номер карты, CVV/CVC и коды из СМС ни в переписке, ни по телефону. Любое такое обращение от имени Оператора является мошенничеством;
• не передаёт персональные данные третьим лицам для целей рекламы;
• не публикует сведения о клиентах без отдельного согласия на обработку персональных данных, разрешённых субъектом для распространения; сведения о состоянии здоровья не публикует ни при каких условиях, в том числе в обезличенном пересказе, позволяющем опознать клиента.

8. Что рекомендуется клиенту

• не сообщать никому CVV/CVC и коды подтверждения из СМС;
• беречь доступ к почте и паролю от учётной записи на Сайте: ими подписываются документы, и через них открываются сведения о здоровье. Пароль не должен повторять пароли от других сервисов;
• сохранять документ о расчёте и подтверждение оплаты.

9. Изменения и контакты

Оператор вправе изменять настоящую Политику; действующая редакция всегда доступна на этой странице. Вопросы по безопасности - на адрес Zazulin.training@yandex.ru.