Политика обработки персональных данных ООО «Койнония»

Стороны и реквизиты

Оператор / Обработчик персональных данных:

Настоящая Политика обработки персональных данных (далее — «Политика») является официальным документом ООО «Койнония» и определяет порядок обработки и защиты персональных данных физических лиц при использовании программного обеспечения и сервисов Koinonia (далее — «Платформа»). Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «152-ФЗ») и иными нормативными правовыми актами Российской Федерации в области обработки персональных данных.

1. Общие положения и термины

1.1. Настоящая Политика разработана во исполнение требований пункта 2 части 1 статьи 18.1 152-ФЗ и определяет политику ООО «Койнония» в отношении обработки персональных данных.

1.2. Двойственный статус ООО «Койнония». В рамках работы Платформы ООО «Койнония» выступает в двух различных правовых ролях, которые в настоящей Политике строго разграничены:

• Самостоятельный оператор — в отношении узкого набора данных, обрабатываемых ООО «Койнония» от собственного имени и для собственных целей: данные паспортного аккаунта пользователя, технические данные, данные лиц, оставивших заявку на сайте, данные лиц, обратившихся в поддержку, а также минимальные платёжные данные. Регулируется Разделом А (разделы 3–13) настоящей Политики.
• Обработчик персональных данных по поручению оператора — в отношении содержимого рабочих пространств (workspace) организаций-операторов: сообщений, медиафайлов, сведений о членстве и ролях участников. Оператором этих данных является соответствующая организация. Регулируется Разделом Б (раздел 14) настоящей Политики.

1.3. Положения Политики применяются исключительно в соответствующей роли ООО «Койнония». Смешение ролей не допускается: для данных, обрабатываемых по поручению, оператором является соответствующая организация, а не ООО «Койнония».

1.4. Термины и определения:

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и совершаемые с ними действия. Оператором может выступать как организация (в отношении данных своих участников), так и ООО «Койнония» (в части паспортного слоя данных).
• Обработчик (лицо, осуществляющее обработку по поручению оператора) — лицо, обрабатывающее персональные данные по поручению и в интересах оператора на основании договора (поручения). В этой роли выступает ООО «Койнония» в отношении содержимого рабочих пространств организаций.
• Субъект персональных данных — физическое лицо, к которому относятся соответствующие персональные данные.
• Платформа — программное обеспечение Koinonia, включая мобильное и десктоп-приложение, веб-клиент и серверную инфраструктуру.
• Паспортный аккаунт — минимальная учётная идентичность пользователя Платформы (номер телефона, имя, фамилия, имя пользователя, по желанию — аватар и адрес электронной почты, а также технические данные). Паспортный аккаунт не содержит сведений о религиозных убеждениях, членстве в религиозных объединениях или переписке. Сам по себе паспортный аккаунт не предоставляет коммуникативных возможностей.
• Рабочее пространство (workspace) — обособленное информационное пространство организации в Платформе, в рамках которого осуществляется управление участниками и коммуникация.
• Специальная категория персональных данных — персональные данные, касающиеся, в частности, религиозных убеждений (статья 10 152-ФЗ). При этом сам факт членства или участия лица в религиозной общине относится к специальной категории персональных данных даже при отсутствии отдельного поля «вероисповедание».
• DPA (Договор поручения на обработку персональных данных) — соглашение между ООО «Койнония» (обработчик) и организацией (оператор), определяющее условия обработки данных участников по поручению. В настоящей Политике именуется «Договором поручения на обработку персональных данных».

1.5. Издатель приложения в магазинах приложений не является оператором или обработчиком данных. Размещение и распространение мобильного приложения Koinonia в App Store и Google Play осуществляется компанией Shepherdstack LLC, выступающей исключительно издателем (publisher) приложения. Shepherdstack LLC не определяет цели и состав обрабатываемых персональных данных, не осуществляет их обработку и не является оператором либо обработчиком персональных данных в смысле 152-ФЗ. Оператором паспортного слоя данных и обработчиком данных рабочих пространств является исключительно ООО «Койнония»; операторами данных участников рабочих пространств являются соответствующие организации-операторы.

1.6. Платформа представляет собой корпоративную систему управления организациями и сообществами (в том числе религиозными организациями) со встроенными средствами коммуникации, доступными исключительно в пределах рабочих пространств. Платформа не является публичной коммуникационной площадкой. Коммуникация возможна исключительно между участниками одного рабочего пространства; паспортный аккаунт без активного членства хотя бы в одном рабочем пространстве не предоставляет коммуникативных функций. Пользователь, обладающий только паспортным аккаунтом, не имеет возможности направлять сообщения произвольному кругу лиц либо лицам за пределами рабочих пространств, участником которых он является. Платформа не предоставляет открытой публичной регистрации с правом коммуникации с неограниченным кругом лиц, глобального поиска пользователей без их предварительного согласия (opt-in) и публичных групп для неограниченного круга лиц.

1.7. На Платформе не применяется сквозное (оконечное) шифрование переписки. Сервер ООО «Койнония» имеет технический доступ к данным в расшифрованном виде в объёме, необходимом для функционирования Платформы и исполнения требований законодательства. Применяемое шифрование данных при хранении (at-rest) и защищённое соединение TLS являются техническими мерами защиты инфраструктуры, а не средством обеспечения конфиденциальности переписки от оператора.

Раздел А. ООО «Койнония» как самостоятельный оператор

2. Область применения Раздела А

2.1. Настоящий Раздел регулирует обработку персональных данных, в отношении которых ООО «Койнония» самостоятельно определяет цели обработки, состав персональных данных и совершаемые с ними действия, действуя в качестве оператора от собственного имени.

2.2. К таким данным относятся: данные паспортного аккаунта пользователя, технические данные, данные лиц, оставивших заявку на сайте koinonia.ru, данные лиц, обратившихся в службу поддержки, и минимальные платёжные данные.

3. Правовые основания и цели обработки

3.1. Правовые основания обработки (статья 6 152-ФЗ). Обработка данных паспортного аккаунта пользователя ведётся на основании отдельного согласия субъекта персональных данных, предоставляемого в порядке статьи 9 152-ФЗ при создании паспортного аккаунта (пункт 1 части 1 статьи 6 152-ФЗ). Это согласие является самостоятельным правовым основанием обработки всего паспортного набора данных и оформляется отдельным непредзаполненным актом (см. пункт 3.2). Иные правовые основания применяются ООО «Койнония» только к узким, объективно обусловленным операциям и не подменяют согласие в отношении паспортного слоя:

• необходимость исполнения договора, стороной которого является субъект персональных данных, — Пользовательского соглашения (EULA), — применяется исключительно к тем операциям, которые объективно невозможны без заключённого договора (в частности, осуществление расчётов за платные функции Платформы при их подключении, обработка платёжных данных), и не распространяется на паспортный набор данных в целом (пункт 5 части 1 статьи 6 152-ФЗ);
• необходимость исполнения возложенных на оператора обязанностей, предусмотренных законодательством Российской Федерации, в том числе Федеральным законом от 06.07.2016 № 374-ФЗ, и хранение информации в установленные законом сроки (пункт 2 части 1 статьи 6 152-ФЗ);
• необходимость осуществления прав и законных интересов оператора, не нарушающих права и свободы субъекта, — исключительно в части обеспечения работоспособности, целостности и безопасности Платформы и предотвращения злоупотреблений (пункт 7 части 1 статьи 6 152-ФЗ).

Отзыв согласия, предоставленного в порядке статьи 9 152-ФЗ, влечёт последствия, предусмотренные разделом 11 настоящей Политики; наличие договора (EULA) само по себе не является основанием для продолжения обработки паспортного набора данных в обход отозванного согласия, за исключением узких операций, прямо перечисленных в настоящем пункте, и случаев, когда обработка обязательна в силу закона.

3.2. Согласие на обработку персональных данных оформляется отдельным актом. В соответствии с требованиями 152-ФЗ и требованием к раздельному и непредзаполненному согласию, действующим с 01.09.2025 (Федеральный закон № 156-ФЗ), согласие субъекта персональных данных на обработку его данных ООО «Койнония» оформляется отдельным, непредзаполненным волеизъявлением и не объединяется в единое действие с акцептом настоящей Политики, Пользовательского соглашения (EULA) или иных согласий. Использование предварительно проставленных отметок (предзаполненных «галочек») для получения согласия не допускается.

3.3. Цели обработки данных, в отношении которых ООО «Койнония» — оператор:

• идентификация и аутентификация пользователя при создании и использовании паспортного аккаунта;
• предоставление пользователю технической возможности присоединиться к рабочим пространствам организаций и пользоваться функциями Платформы;
• обеспечение работоспособности, целостности и безопасности Платформы, предотвращение мошенничества, несанкционированного доступа и иных злоупотреблений;
• обработка и рассмотрение обращений лиц, направленных в службу поддержки;
• обработка заявок (лидов), оставленных на сайте koinonia.ru, в целях связи с потенциальным клиентом и предоставления информации о Платформе;
• осуществление расчётов за платные функции и услуги Платформы (при их подключении);
• исполнение требований законодательства Российской Федерации, в том числе требований о хранении информации.

3.4. ООО «Койнония» не использует персональные данные субъектов для целей, несовместимых с указанными в пункте 3.3, и не осуществляет их обработку сверх объёма, необходимого для достижения этих целей (принцип минимизации, часть 5 статьи 5 152-ФЗ).

4. Категории субъектов и перечень обрабатываемых персональных данных

4.1. Пользователи Платформы (владельцы паспортного аккаунта). Обрабатываются следующие персональные данные:

• номер мобильного телефона;
• имя и фамилия;
• имя пользователя (username);
• аватар (изображение профиля) — при условии его добровольного предоставления пользователем (статья 152.1 Гражданского кодекса Российской Федерации — использование изображения гражданина осуществляется с его согласия);
• адрес электронной почты — при условии его добровольного предоставления пользователем.

4.2. Технические данные пользователей. В целях обеспечения работоспособности и безопасности Платформы обрабатываются:

• сведения об устройствах пользователя (модель, операционная система и её версия, наименование устройства);
• сетевые идентификаторы и IP-адреса;
• идентификаторы сессий, токены доступа и обновления (включая push-токены устройств для доставки уведомлений);
• журналы событий и действий в Платформе, технические и диагностические записи, необходимые для функционирования и обеспечения безопасности Платформы.

4.3. Лица, оставившие заявку (лид) на сайте koinonia.ru. Обрабатываются данные, добровольно сообщённые лицом при заполнении формы обратной связи: имя, контактные данные (номер телефона и (или) адрес электронной почты), а также иные сведения, добровольно указанные в тексте заявки.

4.4. Лица, обратившиеся в службу поддержки. Обрабатываются контактные данные обратившегося лица и содержание обращения, включая сведения, добровольно сообщённые в ходе переписки в целях рассмотрения обращения.

4.5. Платёжные данные (при подключении платных функций). ООО «Койнония» обрабатывает минимальный объём данных, необходимый для осуществления расчётов: сведения о факте, сумме, дате и назначении платежа, идентификатор операции. ООО «Койнония» не осуществляет приём и хранение полных реквизитов платёжных карт. Приём платежей и обработка реквизитов платёжных инструментов осуществляются лицензированными платёжными организациями (банками, платёжными агрегаторами), действующими в качестве самостоятельных операторов в отношении таких данных в соответствии с собственными политиками.

4.6. ООО «Койнония» не обрабатывает в рамках паспортного слоя данных специальные категории персональных данных (в том числе сведения о религиозных убеждениях) и сведения о членстве в религиозных объединениях. Такие данные обрабатываются исключительно в рамках рабочих пространств организаций-операторов по их поручению (см. Раздел Б).

5. Перечень действий с персональными данными и способы их обработки

5.1. В отношении данных, перечисленных в разделе 4, ООО «Койнония» совершает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу в случаях, предусмотренных законом или согласием субъекта, блокирование, обезличивание, удаление и уничтожение.

5.2. Способы обработки. Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без использования таких средств, а также смешанным способом. Учитывая, что Платформа представляет собой программное обеспечение, преобладающим способом является автоматизированная обработка с использованием информационных систем оператора.

5.3. ООО «Койнония» не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, без участия человека.

6. Сроки обработки и хранения персональных данных

6.1. Персональные данные паспортного аккаунта обрабатываются в течение всего срока действия аккаунта пользователя на Платформе.

6.2. При прекращении использования Платформы и (или) при отзыве согласия персональные данные подлежат удалению в порядке, установленном разделом 11 настоящей Политики, с учётом предусмотренного законом срока (grace-period) и обязательных сроков хранения.

6.3. Хранение в силу требований законодательства. Отдельные категории информации хранятся в течение сроков, установленных законодательством Российской Федерации, в том числе:

• в соответствии с Федеральным законом от 06.07.2016 № 374-ФЗ информация о фактах приёма, передачи, доставки и (или) обработки сообщений пользователей, а равно текстовые сообщения и иные коммуникации хранятся в течение установленных законом сроков (не менее шести месяцев) и не подлежат физическому удалению ранее истечения этих сроков. По истечении сроков хранения данные удаляются либо обезличиваются (см. также пункты 11.4–11.6 и раздел 14);
• сведения, необходимые для исполнения налоговых и бухгалтерских обязанностей оператора, хранятся в течение сроков, установленных соответствующим законодательством.

6.4. Данные лиц, оставивших заявку на сайте, и данные обращений в поддержку хранятся в течение срока, необходимого для рассмотрения соответствующего обращения и связи с лицом, а также в течение разумного срока для подтверждения качества обслуживания, после чего удаляются или обезличиваются.

6.5. По достижении целей обработки либо в случае утраты необходимости в достижении этих целей персональные данные подлежат уничтожению либо обезличиванию, если иное не предусмотрено законом или согласием субъекта.

7. Трансграничная передача персональных данных

7.1. Трансграничная передача персональных данных не осуществляется. Все серверы и базы данных, используемые для обработки персональных данных, расположены на территории Российской Федерации.

7.2. В соответствии с частью 5 статьи 18 152-ФЗ при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации.

8. Передача персональных данных третьим лицам

8.1. ООО «Койнония» не раскрывает и не передаёт персональные данные третьим лицам, за исключением следующих случаев:

• передача необходима для исполнения договора с субъектом (например, передача платёжных сведений лицензированной платёжной организации для осуществления расчётов в объёме, указанном в пункте 4.5);
• передача осуществляется лицам, привлечённым ООО «Койнония» для технического обеспечения работы Платформы (например, поставщикам услуг хостинга и связи на территории Российской Федерации), на условиях соблюдения ими требований конфиденциальности и безопасности;
• передача предусмотрена законодательством Российской Федерации и осуществляется по запросу уполномоченных государственных органов в установленном законом порядке;
• субъект персональных данных дал отдельное согласие на такую передачу либо на распространение своих данных в порядке статьи 10.1 152-ФЗ.

8.2. Распространение персональных данных (то есть раскрытие неопределённому кругу лиц) ООО «Койнония» в рамках паспортного слоя данных не осуществляет.

9. Меры по обеспечению безопасности персональных данных

9.1. ООО «Койнония» принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в соответствии со статьями 18.1 и 19 152-ФЗ.

9.2. Лицо, ответственное за организацию обработки персональных данных. В соответствии с пунктом 1 части 1 статьи 18.1 152-ФЗ ООО «Койнония» назначает лицо, ответственное за организацию обработки персональных данных. На дату утверждения настоящей редакции Политики функции лица, ответственного за организацию обработки персональных данных, осуществляет генеральный директор ООО «Койнония» Грушенков Роман Викторович; обращения по вопросам обработки персональных данных направляются на адрес электронной почты support@koinonia.ru либо по юридическому адресу ООО «Койнония». В случае назначения иного ответственного лица актуальные сведения о его должности и канале связи доводятся ООО «Койнония» до сведения субъектов вместе с настоящей Политикой.

9.3. Доступ к сведениям о реализуемых требованиях к защите персональных данных. Во исполнение части 2 статьи 18.1 152-ФЗ ООО «Койнония» обеспечивает неограниченный доступ к настоящей Политике, а также — отдельно от неё — к сведениям о реализуемых требованиях к защите персональных данных. Указанные сведения публикуются (предоставляются) ООО «Койнония» вместе с настоящей Политикой по адресу koinonia.ru/legal и предоставляются по запросу, направленному по контактам, указанным в пункте 9.2.

9.4. Организационные меры включают:

• назначение лица, ответственного за организацию обработки персональных данных (пункт 9.2);
• издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников;
• определение угроз безопасности персональных данных при их обработке в информационных системах;
• ограничение и разграничение доступа работников к персональным данным по принципу служебной необходимости (контроль доступа);
• осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства.

9.5. Технические меры включают:

• применение шифрования данных при хранении (at-rest) с использованием алгоритма AES-256;
• использование защищённого соединения (TLS) при передаче данных по сети;
• контроль доступа к данным на уровне организации (рабочего пространства) и на уровне информационной системы;
• ведение журналов доступа и действий, резервное копирование данных;
• применение средств защиты информации, прошедших процедуру оценки соответствия в установленном порядке.

9.6. ООО «Койнония» обеспечивает защиту информационных систем персональных данных в объёме, соответствующем уровню защищённости УЗ-3, в соответствии с требованиями к защите персональных данных, утверждёнными приказом ФСТЭК России от 18.02.2013 № 21, а также с учётом требований постановления Правительства Российской Федерации от 01.11.2012 № 1119.

10. Права субъекта персональных данных и порядок их реализации

10.1. В соответствии со статьёй 14 152-ФЗ субъект персональных данных имеет право:

• получать информацию, касающуюся обработки его персональных данных, в том числе сведения о целях, способах и сроках обработки, об обрабатываемых данных и их источнике, а также об осуществляемых или предполагаемых действиях с данными;
• требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных в порядке, предусмотренном частью 2 статьи 9 152-ФЗ и разделом 11 настоящей Политики;
• обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

10.2. Порядок реализации прав. Для реализации указанных прав субъект направляет письменное обращение (запрос) на адрес электронной почты support@koinonia.ru или по юридическому адресу ООО «Койнония».

10.3. Запрос субъекта должен содержать сведения, позволяющие идентифицировать субъекта и подтвердить его право на получение информации (в частности, сведения, позволяющие установить связь субъекта с обрабатываемыми оператором персональными данными), а также подпись субъекта или его представителя. ООО «Койнония» вправе запросить дополнительные сведения для идентификации заявителя.

10.4. Сроки реализации прав. ООО «Койнония» рассматривает обращение и предоставляет ответ в сроки, установленные 152-ФЗ применительно к соответствующей процедуре:

• при предоставлении субъекту сведений об обработке его персональных данных по запросу в соответствии с частью 1 статьи 14 152-ФЗ требуемые сведения предоставляются в течение тридцати дней с даты получения запроса субъекта (части 1 и 7 статьи 14 152-ФЗ);
• при наличии оснований полагать, что персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, ООО «Койнония» по требованию субъекта вносит в них необходимые изменения, блокирует либо уничтожает соответствующие данные и в срок, не превышающий семи рабочих дней со дня предоставления субъектом сведений, подтверждающих указанные обстоятельства, уведомляет субъекта о внесённых изменениях и предпринятых мерах (статья 21 152-ФЗ);
• при выявлении неправомерной обработки персональных данных или при отзыве субъектом согласия применяются сроки прекращения обработки и уничтожения данных, установленные статьями 9 и 21 152-ФЗ.

10.5. Часть прав субъект может реализовать самостоятельно через интерфейс Платформы: изменить данные профиля, отозвать согласие и инициировать удаление аккаунта (раздел 11).

10.6. Реализация прав субъекта в отношении данных, обрабатываемых ООО «Койнония» по поручению организации-оператора (Раздел Б), осуществляется при участии соответствующей организации как оператора этих данных.

11. Порядок отзыва согласия, удаления аккаунта и обезличивания данных

11.1. Субъект персональных данных вправе в любой момент отозвать согласие на обработку персональных данных, направив соответствующее обращение по контактам, указанным в разделе 10, либо инициировав удаление аккаунта через интерфейс Платформы.

11.2. Отзыв согласия влечёт прекращение обработки персональных данных, осуществляемой на основании этого согласия, и удаление (уничтожение) персональных данных, за исключением случаев, когда сохранение данных требуется в силу закона либо обработка возможна на ином правовом основании (например, исполнение требований Федерального закона от 06.07.2016 № 374-ФЗ).

11.3. Период отложенного удаления (grace-period). После инициирования удаления аккаунта учётная запись переводится в неактивное состояние, вход в неё становится невозможным, однако данные сохраняются в течение 30 (тридцати) календарных дней. В течение этого периода субъект вправе восстановить аккаунт. ООО «Койнония» направляет субъекту предварительное уведомление о предстоящем окончательном удалении до истечения указанного срока.

11.4. Окончательное удаление (hard-delete). По истечении периода отложенного удаления персональные данные аккаунта подлежат окончательному удалению из информационных систем оператора, за исключением данных, в отношении которых законодательством установлен обязательный срок хранения.

11.5. Обезличивание сообщений. В силу требований Федерального закона от 06.07.2016 № 374-ФЗ сообщения пользователя не удаляются физически до истечения установленных законом сроков хранения. При окончательном удалении аккаунта сведения, идентифицирующие отправителя (имя и фамилия), заменяются на обезличенное обозначение (например, «Бывший участник»), аватар удаляется, при этом содержание сообщений сохраняется в обезличенном виде.

11.6. Сохранение содержания сообщений в групповых чатах после удаления аккаунта одного из участников осуществляется также в целях защиты прав и законных интересов иных участников коммуникации (пункт 7 части 1 статьи 6 152-ФЗ).

12. Уведомление о нарушениях безопасности (инцидентах)

12.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, ООО «Койнония» в соответствии с пунктом 3.1 статьи 21 152-ФЗ:

• в течение 24 (двадцати четырёх) часов с момента выявления инцидента уведомляет уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) о произошедшем инциденте, его предполагаемых причинах и предполагаемом вреде, а также о принятых мерах по устранению последствий;
• в течение 72 (семидесяти двух) часов с момента выявления инцидента уведомляет уполномоченный орган о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при их установлении).

12.2. Если инцидент затрагивает данные, обрабатываемые ООО «Койнония» по поручению организации-оператора (Раздел Б), ООО «Койнония» незамедлительно информирует соответствующую организацию как оператора и оказывает ей необходимое содействие в исполнении её обязанностей по уведомлению.

12.3. ООО «Койнония» ведёт учёт инцидентов и принимаемых мер реагирования.

13. Актуализация Политики и механизм повторного согласия

13.1. Настоящая Политика является официальным документом ООО «Койнония», публикуемым во исполнение части 2 статьи 18.1 152-ФЗ, и может быть изменена ООО «Койнония» в одностороннем порядке с уведомлением субъектов. Актуальная редакция Политики размещается по адресу koinonia.ru/legal/privacy и вступает в силу с момента её опубликования, если иной срок не указан в новой редакции. Настоящая Политика не является офертой; принятие условий обслуживания (акцепт оферты) оформляется в рамках Пользовательского соглашения (EULA) отдельным актом.

13.2. Версионирование и фиксация даты утверждения. ООО «Койнония» применяет версионирование Политики: каждой редакции присваиваются номер версии и дата её утверждения и вступления в силу, указываемые в блоке метаданных в начале документа. Дата утверждения каждой редакции является формальным реквизитом Политики и фиксируется при её утверждении уполномоченным лицом ООО «Койнония»; предыдущие редакции сохраняются ООО «Койнония» в истории версий.

13.3. Согласие субъекта персональных данных не является офертой и не может быть изменено в одностороннем порядке. Согласие, предоставленное в порядке статьи 9 152-ФЗ, представляет собой волеизъявление субъекта и сохраняет силу в отношении тех целей, состава данных и перечня лиц, осуществляющих обработку, которые были указаны при его получении.

13.4. Механизм повторного согласия (reconsent). При существенном изменении условий обработки (в частности, при изменении целей обработки, состава обрабатываемых персональных данных или перечня лиц, осуществляющих обработку по поручению) ООО «Койнония» запрашивает у субъекта новое согласие. До получения нового согласия субъекту в интерфейсе Платформы отображается уведомление об изменении условий обработки с предложением подтвердить согласие. Прежняя версия согласия сохраняется в истории. Несущественные изменения (исправление опечаток, изменение форматирования) не требуют повторного согласия и фиксируются в истории версий.

Раздел Б. ООО «Койнония» как обработчик персональных данных по поручению

14. Обработка персональных данных по поручению организаций-операторов

14.1. Роль и основание обработки. В отношении содержимого рабочих пространств организаций ООО «Койнония» выступает в качестве лица, осуществляющего обработку персональных данных по поручению оператора (часть 3 статьи 6 152-ФЗ). Оператором этих данных является соответствующая организация — пользователь рабочего пространства. Реквизиты конкретной организации-оператора фиксируются в Договоре поручения на обработку персональных данных, заключаемом с этой организацией, и в настоящей Политике, единой для всех организаций — пользователей Платформы, не приводятся.

14.2. Основание поручения. Обработка по поручению осуществляется на основании Договора поручения на обработку персональных данных (DPA), заключаемого между ООО «Койнония» (обработчик) и организацией (оператор). Договор поручения является неотъемлемой частью Пользовательского соглашения (EULA). Условия Договора поручения, в том числе перечень обрабатываемых персональных данных и перечень действий с ними, определяет оператор (организация), который явно акцептует Договор уполномоченным лицом.

14.3. Состав данных определяет оператор. В соответствии с частью 3 статьи 6 152-ФЗ перечень персональных данных, цели и действия по их обработке в рамках рабочего пространства определяет организация как оператор. ООО «Койнония» обрабатывает эти данные исключительно в пределах поручения и не определяет самостоятельно цели и состав такой обработки. К данным, обрабатываемым по поручению, относятся, в частности:

• сообщения и иные коммуникации участников рабочего пространства;
• медиафайлы и вложения, размещённые участниками;
• сведения о членстве и участии в организации, ролях участников в рабочем пространстве;
• иные сведения об участниках, состав которых определяет оператор.

14.4. Специальная категория персональных данных (для операторов — религиозных объединений). Сведения о религиозных убеждениях участников, а равно сам факт членства или участия лица в религиозной общине, относятся к специальной категории персональных данных (статья 10 152-ФЗ). Правовое основание их обработки определяет организация как оператор:

• религиозная организация вправе обрабатывать такие данные в соответствии со своими учредительными документами при условии, что персональные данные не будут распространяться или раскрываться третьим лицам без согласия в письменной форме субъектов персональных данных (пункт 5 части 2 статьи 10 152-ФЗ);
• если оператором выступает религиозная группа, действующая без образования юридического лица и без учредительных документов, указанное основание неприменимо, и обработка специальной категории данных осуществляется на основании отдельного письменного согласия субъекта.

Соответствующие согласия субъектов оформляются документами «Согласие на обработку персональных данных религиозной организацией» (членство и участие) и «Согласие на обработку специальной категории персональных данных», предоставляемыми организации-оператору для использования при сборе согласий участников (см. раздел 15). ООО «Койнония» как обработчик не определяет правовое основание обработки специальной категории данных и обеспечивает, чтобы такие данные не передавались и не раскрывались третьим лицам без надлежащего согласия субъектов либо иного законного основания.

14.5. Обязанности обработчика. ООО «Койнония» при обработке по поручению:

• обрабатывает данные исключительно в целях и в объёме, определённых оператором в Договоре поручения, и не обрабатывает их для собственных целей;
• соблюдает принципы и правила обработки персональных данных, установленные 152-ФЗ, и обеспечивает конфиденциальность персональных данных;
• применяет к данным, обрабатываемым по поручению, те же требования по обеспечению безопасности персональных данных, что установлены разделом 9 настоящей Политики (шифрование at-rest AES-256, TLS, контроль доступа, меры уровня защищённости УЗ-3 по приказу ФСТЭК России № 21);
• не осуществляет трансграничную передачу таких данных; все серверы и базы данных расположены на территории Российской Федерации;
• не обязано получать согласие субъектов персональных данных на обработку по поручению — получение такого согласия является обязанностью оператора (организации).

14.6. Распределение ответственности (части 3 и 5 статьи 6 152-ФЗ). Перед субъектом персональных данных за действия ООО «Койнония» как обработчика отвечает оператор (организация). ООО «Койнония» как обработчик отвечает перед оператором. Обязанность по получению согласий субъектов, по уведомлению уполномоченного органа о начале обработки (статья 22 152-ФЗ) и по обеспечению правовых оснований обработки, в том числе специальной категории данных, лежит на организации как операторе. ООО «Койнония» не принимает на себя указанные обязанности оператора.

14.7. Уведомление оператора о начале обработки. В отношении данных, обрабатываемых по поручению, обязанность уведомить уполномоченный орган о намерении осуществлять обработку персональных данных (статья 22 152-ФЗ) лежит на организации как операторе. Льгота, ранее освобождавшая религиозные объединения от такого уведомления, отменена; на момент опубликования настоящей Политики каждая организация-оператор обязана самостоятельно подать соответствующее уведомление. ООО «Койнония» предоставляет шаблон проекта такого уведомления, однако не освобождает организацию-оператора от исполнения этой обязанности.

14.8. Реализация прав субъектов и инциденты. При поступлении к ООО «Койнония» запросов субъектов в отношении данных, обрабатываемых по поручению, а также при выявлении инцидентов безопасности, затрагивающих такие данные, ООО «Койнония» незамедлительно уведомляет соответствующего оператора и оказывает ему содействие в исполнении обязанностей, предусмотренных 152-ФЗ.

14.9. Подробные условия обработки по поручению, включая реквизиты организации-оператора, перечень данных, цели, сроки, меры безопасности и порядок взаимодействия сторон, установлены Договором поручения на обработку персональных данных.

14.10. Ответственность и правовое значение строгой минимизации. Сведения о членстве, участии и религиозных убеждениях участников (для операторов — религиозных объединений) относятся к специальной категории персональных данных, и их обработка влечёт повышенные требования к правовому основанию и к безопасности. Организации как оператору следует учитывать, что дефект согласия на обработку специальной категории персональных данных, нарушение условия их нераспространения (раскрытия третьим лицам без письменного согласия субъекта), а равно их утечка влекут административную ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях (с повышенными размерами в случае специальной категории и (или) утечки персональных данных), а при наличии соответствующего состава могут повлечь уголовную ответственность по статье 272.1 Уголовного кодекса Российской Федерации (неправомерные использование и (или) передача персональных данных). Дефект согласия лишает обработку правового основания, что при последующей утечке специальной категории данных влечёт применение верхних санкций. Именно этим обусловлены реализуемые на Платформе требование строгой минимизации обрабатываемых данных, закрытый по умолчанию контур видимости (отсутствие публичного раскрытия членства и сведений об участниках по умолчанию) и процедура уведомления об инцидентах в сроки 24 и 72 часа (раздел 12). Соблюдение этих требований и письменной формы согласий на специальную категорию и на распространение данных является обязанностью организации как оператора.

15. Связанные документы

15.1. Настоящая Политика применяется во взаимосвязи со следующими документами Платформы:

• Пользовательское соглашение (EULA) — определяет условия использования Платформы и включает Договор поручения на обработку персональных данных как неотъемлемую часть;
• Договор поручения на обработку персональных данных (DPA) — определяет условия обработки ООО «Койнония» данных участников рабочих пространств по поручению организаций-операторов, а также фиксирует реквизиты конкретной организации-оператора (см. Раздел Б);
• Согласие на обработку персональных данных религиозной организацией (членство и участие) — оформляемое участником рабочего пространства согласие на обработку организацией-оператором персональных данных, связанных с членством и участием (на него опирается пункт 14.4);
• Согласие на обработку специальной категории персональных данных — оформляемое участником рабочего пространства согласие на обработку сведений, относящихся к специальной категории персональных данных (религиозные убеждения, факт членства/участия), в том числе при отсутствии у оператора права обрабатывать такие данные по учредительным документам (на него опирается пункт 14.4);
• шаблоны согласий субъектов персональных данных, предоставляемые ООО «Койнония» организациям-операторам для использования при сборе согласий участников.

15.2. В части, не урегулированной настоящей Политикой, применяются положения законодательства Российской Федерации о персональных данных.