Политика обработки персональных данных

1. Общие положения и статус сторон

1.1. Настоящая Политика описывает, как Индивидуальный предприниматель Иванов Иван Геннадьевич (далее — «Оператор») обрабатывает и защищает персональные данные (ПДн) пользователей веб-сервиса urCase (юрКейс) (далее — «Сервис»).

1.2. Разграничение статусов: в отношении персональных данных клиентов, участников дел и иных третьих лиц, которые Пользователь самостоятельно вводит в Сервис для ведения дел, создания клиентских кабинетов и предоставления своим клиентам доступа к относящимся к ним данным, оператором персональных данных является Пользователь. ИП Иванов И.Г. осуществляет автоматизированную обработку таких данных по поручению Пользователя на условиях раздела 6 Пользовательского соглашения, не определяя самостоятельно цели их обработки. Обращения соответствующих субъектов рассматривает Пользователь как оператор, а ИП Иванов И.Г. оказывает ему необходимое содействие в пределах поручения и требований законодательства.

2. Состав обрабатываемых данных

2.1. Данные, предоставляемые Пользователем добровольно при регистрации и оплате:

• имя (или наименование кабинета);
• адрес электронной почты (Email);
• хэш пароля и сведения, необходимые для аутентификации;
• при оплате — идентификатор операции или заказа, сумма, тариф и статус платежа; полные реквизиты банковской карты Оператором не обрабатываются и не сохраняются.

2.2. Приглашения к совместной работе: приглашение к совместной работе может быть направлено только зарегистрированному Пользователю Сервиса по его логину или адресу электронной почты, уже связанному с его учетной записью. Создание приглашения для незарегистрированного лица по адресу электронной почты, указанному другим Пользователем, Сервисом не осуществляется.

2.3. Данные, собираемые автоматически:

• IP-адрес и технические сведения о сетевом соединении;
• сведения об операционной системе, браузере и пользовательском устройстве, включая User-Agent;
• часовой пояс Пользователя;
• файлы cookie, токены и журналы сессий;
• сведения о событиях регистрации, аутентификации и действиях в Сервисе;
• идентификаторы подписок устройств (Endpoints) и криптографические ключи, необходимые для доставки Web Push уведомлений;
• технические сведения и отчеты о программных ошибках.

2.4. Использование WebAuthn: при подтверждении входа посредством Face ID, Touch ID или иного локального механизма устройства Оператор не получает изображение лица, отпечаток пальца или биометрический шаблон. Проверка выполняется непосредственно на устройстве Пользователя. Сервер Сервиса обрабатывает связанный с аккаунтом идентификатор учетных данных WebAuthn, открытый криптографический ключ, название устройства и технический счетчик использования ключа. Эти сведения не используются Оператором для установления личности по физиологическим или биологическим особенностям.

2.5. Данные третьих лиц и клиентских кабинетов: Пользователь вправе вводить фамилию, имя и отчество, контактные данные, идентификаторы, процессуальный статус, номер дела, наименование суда, даты и сведения о событиях дела, сведения о денежных требованиях и иные персональные данные обычной категории, объективно необходимые для ведения конкретного дела. При создании Пользователем клиентского кабинета по его поручению также могут обрабатываться имя или наименование клиента, логин, хэш пароля, сведения об аутентификации и пользовательских сессиях, IP-адрес и технические сведения о браузере и устройстве, необходимые для функционирования клиентского кабинета. Пользователь не должен вводить в Сервис сведения о здоровье, интимной жизни, расовой или национальной принадлежности, политических и религиозных взглядах, судимости, биометрические данные и сведения, не необходимые для соответствующей цели обработки.

3. Цели и сроки обработки данных

3.1. Заключение и исполнение Пользовательского соглашения (авторизация, предоставление доступа к функционалу).

3.2. Направление системных транзакционных уведомлений (восстановление пароля, приглашения в дела, уведомления о событиях).

3.3. Техническая поддержка, анализ программных ошибок и обеспечение безопасности.

3.4. Анализ посещаемости и использования публичного сайта ur-case.ru, оценка эффективности и улучшение работы сайта, получение статистической информации — только после получения согласия посетителя на аналитические файлы cookie.

3.5. Направление рекламных и информационных рассылок (исключительно при наличии отдельного согласия Пользователя).

3.6. Сроки обработки и хранения:

• данные аккаунта и рабочие данные дел обрабатываются в течение срока действия Пользовательского соглашения и удаляются не позднее 30 дней после удаления аккаунта или прекращения соответствующей цели обработки, если отсутствует самостоятельное законное основание для дальнейшего хранения;
• содержимое журнала коммуникаций хранится до 6 месяцев;
• сведения о фактах коммуникаций, журналы аутентификации, журналы согласий и реестр активности могут храниться в течение срока существования аккаунта и до 3 лет после его удаления в целях обеспечения безопасности, подтверждения действий, исполнения обязательств и защиты прав и законных интересов Оператора и Пользователей;
• журналы аудита действий и уничтожения данных хранятся 3 года;
• сведения об оплате и бухгалтерском учете хранятся до 5 лет либо в течение иного срока, установленного законодательством;
• неактивные сессии удаляются через 30 дней, использованные проверочные токены CAPTCHA — через 1 час;
• отзыв согласия не влечет удаления сведений, которые Оператор вправе или обязан обрабатывать на основании договора, закона либо в целях осуществления и защиты прав и законных интересов.

4. Передача данных третьим лицам

4.1. Мы не продаем и не передаем персональные данные Пользователей третьим лицам, за исключением следующих случаев:

• Законодательство РФ: случаи, когда обязанность передать данные по официальному запросу государственных органов прямо установлена действующим законодательством РФ.
• Хостинг и хранение: базы данных Сервиса физически размещены на мощностях российских хостинг-провайдеров на территории РФ (ч. 5 ст. 18 ФЗ-152).
• Веб-аналитика: на публичном сайте ur-case.ru после получения согласия посетителя на аналитические файлы cookie используется сервис «Яндекс.Метрика» (ООО «ЯНДЕКС»), в рамках которого могут обрабатываться IP-адрес, идентификаторы файлов cookie, сведения о браузере, операционной системе и устройстве, дата и время посещения, источник перехода, сведения о просмотренных страницах и технических действиях посетителя.
• Рассылки: для доставки email-сообщений Оператор вправе использовать собственные почтовые серверы или привлекать сторонние специализированные сервисы на основании соответствующих договоров.
• Прием платежей: при оплате картами обработка платежных данных осуществляется на стороне защищенного платежного агрегатора (банка-эквайера). Оператор не хранит номера банковских карт.
• Календарные подписки: при подключении Пользователем внешнего календаря сведения о доступных Пользователю событиях и делах могут передаваться выбранному Пользователем календарному приложению или сервису посредством индивидуальной ссылки календарной подписки. Подключение такой подписки осуществляется по инициативе Пользователя; индивидуальная ссылка подписки должна храниться конфиденциально.

5. Права Пользователя

В любой момент Пользователь имеет право:

5.1. Право на доступ и исправление: запросить копию своих данных, а также самостоятельно изменить или уточнить их в интерфейсе Сервиса.

5.2. Право на отзыв: отозвать согласие на обработку данных или отписаться от маркетинговых рассылок.

5.3. Право требовать прекращения обработки и удаления: потребовать прекращения обработки персональных данных, удаления аккаунта и связанных с ним рабочих данных. Требование не распространяется на сведения, которые Оператор вправе или обязан сохранять на самостоятельном законном основании, включая журналы безопасности, подтверждения согласий, сведения об уничтожении данных и документы учета. При удалении аккаунта дальнейшее оказание услуг становится невозможным.

6. Безопасность и порядок действий при утечке

6.1. Оператор применяет необходимые правовые, организационные и технические меры защиты данных от неправомерного или случайного доступа, изменения, блокирования, копирования, предоставления, распространения и уничтожения, включая передачу данных по протоколу TLS и шифрование чувствительных рабочих данных дел с использованием AES-256-GCM.

6.2. В случае выявления неправомерной передачи (случайной утечки) персональных данных, повлекшей нарушение прав субъектов, Оператор обязуется:

• в течение 24 часов направить в Роскомнадзор первичное уведомление с предусмотренными законодательством сведениями;
• в течение 72 часов провести внутреннее расследование и направить в Роскомнадзор его результаты;
• уведомить затронутых лиц и взаимодействовать с ГосСОПКА в случаях и порядке, предусмотренных законодательством и характером инцидента;
• принять необходимые меры по прекращению нарушения и устранению его последствий.

7. Порядок идентификации при реализации прав субъекта

7.1. Для предотвращения несанкционированного удаления, изменения или раскрытия данных Оператор исполняет запрос после проверки личности заявителя и его полномочий способом, соразмерным характеру запроса.

7.2. Для проверки личности Оператор вправе потребовать направление запроса с подтвержденного адреса электронной почты, подтверждение действия через аккаунт, представление электронного документа, подписанного усиленной квалифицированной электронной подписью, либо использование иного способа, позволяющего достоверно установить заявителя. В запросе должны быть указаны сведения, позволяющие найти соответствующую учетную запись или персональные данные.

7.3. Оператор вправе запросить уточняющие сведения или направить контрольное письмо с кодом либо ссылкой. До завершения проверки личности исполнение запроса может быть приостановлено. Если достоверно установить заявителя или его полномочия невозможно, Оператор направляет мотивированный отказ.

8. Контакты и реквизиты Оператора

Для реализации своих прав, отзыва согласия или по иным вопросам, касающимся персональных данных, Пользователь должен направить запрос на электронную почту: info@ur-case.ru. Срок ответа на обращение составляет не более 10 (десяти) рабочих дней.