Политика обработки
персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые ООО «УК «Улесье» (ОГРН 1169658099654, ИНН 6671053428, адрес: 620144, г. Екатеринбург, ул. Николая Островского, стр. 4А, офис 503) (далее — Оператор).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ).

1.3. Политика действует в отношении персональных данных, которые Оператор получает от пользователей сайта https://кп-улесье.рф (далее — Сайт), в том числе из писем, самостоятельно направленных на опубликованный адрес электронной почты, а также при работе закрытой административной панели. Технические сведения, автоматически попадающие в журналы сервера, описаны отдельно в Политике.

1.4. Политика не является согласием субъекта на обработку персональных данных. Согласие оформляется отдельно в случаях, предусмотренных законодательством Российской Федерации.

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.

2.3. Оператор — ООО «УК «Улесье», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели и состав обрабатываемых данных.

2.4. Пользователь — посетитель Сайта.

2.5. Административная панель — закрытый служебный интерфейс для уполномоченных сотрудников ООО «УК «Улесье», доступный после авторизации.

3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

• посетители Сайта, которые самостоятельно направляют электронное письмо на опубликованный контактный адрес uk_ulesye@mail.ru;
• уполномоченные сотрудники ООО «УК «Улесье», имеющие доступ к закрытой административной панели;
• собственники земельных участков и жилых домов в коттеджном посёлке «Улесье», заявители и контрагенты (физические лица), если их обращение или сведения о договоре регистрируются Оператором.

3.2. Перечень обрабатываемых персональных данных:

Для посетителей, направивших письмо на электронную почту:

• фамилия, имя, отчество (если указаны);
• адрес электронной почты;
• номер телефона (если указан);
• адрес или номер участка (если указан);
• содержание обращения;
• иные сведения, которые пользователь самостоятельно включил в сообщение.

Для уполномоченных сотрудников административной панели:

• внутренний идентификатор учётной записи и адрес электронной почты;
• отображаемое имя, роль и статус учётной записи;
• хеш пароля (пароль в открытом виде в базе данных не хранится);
• технические сведения сессии: хеш токена, даты создания, окончания и отзыва сессии;
• сведения о действиях в административной панели, необходимые для аудита и безопасности.

Для собственников, заявителей и контрагентов, сведения о которых уполномоченный сотрудник вносит в закрытую административную систему:

• имя и контактные данные (если предоставлены);
• адрес или номер участка (если указан);
• содержание обращения или заявки;
• приложенные файлы и документы (если предоставлены);
• комментарии, статус и история обработки обращения.

Автоматически фиксируемые технические сведения в серверных журналах:

• IP-адрес;
• дата и время запроса;
• запрошенный URL и HTTP-метод;
• HTTP-статус ответа и объём переданных данных;
• User-Agent браузера;
• Referer, если браузер его передаёт;
• иные стандартные технические параметры HTTP-запроса.

3.3. Оператор не запрашивает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные. Если пользователь по собственной инициативе включит такие сведения в письмо или обращение, Оператор обрабатывает их только в объёме, необходимом для рассмотрения обращения, при наличии предусмотренного законом основания.

4.1. Персональные данные обрабатываются в следующих целях:

• рассмотрение обращений и запросов, поступивших на адрес электронной почты uk_ulesye@mail.ru, и направление ответов;
• регистрация и рассмотрение обращений собственников и контрагентов, внесённых уполномоченными сотрудниками в закрытую административную систему;
• заключение и исполнение договоров на управление и обслуживание;
• обеспечение функционирования, работоспособности и безопасности Сайта и административной панели;
• диагностика ошибок и расследование технических инцидентов;
• выявление и предотвращение попыток несанкционированного доступа;
• аутентификация сотрудников и разграничение прав доступа в административной панели.

5.1. Оператор обрабатывает персональные данные при наличии применимого к конкретной цели основания, предусмотренного частью 1 статьи 6 152-ФЗ, в том числе:

• необходимость обработки для заключения или исполнения договора, стороной, выгодоприобретателем или поручителем по которому является субъект;
• необходимость исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации;
• необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта;
• согласие субъекта — в случаях, когда оно требуется законом. Такое согласие оформляется отдельно от Политики и иных документов.

Само по себе направление электронного письма или ознакомление с Политикой не считается оформленным согласием на обработку персональных данных. Если для конкретной обработки требуется согласие, Оператор получает его отдельно.

6.1. На публичном Сайте отсутствуют формы обратной связи, регистрация, личный кабинет, формы заявок, комментариев, загрузки документов и оплаты. Посетитель может самостоятельно перейти по ссылкам на электронную почту, телефон, Яндекс Карты или MAX. Публичный Сайт не передаёт введённые посетителем сведения в PostgreSQL через веб-формы; технические сведения запросов фиксируются в серверных журналах.

6.2. Пользователь может добровольно направить электронное письмо на опубликованный адрес uk_ulesye@mail.ru. Содержание письма обрабатывается для рассмотрения обращения и подготовки ответа. Направление письма само по себе не является отдельным согласием на обработку персональных данных; применимое правовое основание определяется в соответствии с разделом 5 Политики.

6.3. Обработка осуществляется как с использованием средств автоматизации, так и без них.

6.4. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного доступа, уничтожения, изменения, блокирования, копирования и распространения.

6.5. Персональные данные не передаются третьим лицам, за исключением случаев, предусмотренных законодательством Российской Федерации, либо когда передача необходима для исполнения договора или функционирования системы. В частности:

• Timeweb предоставляет VPS и серверную инфраструктуру. Production-сервер, PostgreSQL и автоматические резервные копии размещены в Москве, Российская Федерация. Обработка технических данных провайдером необходима для работы Сайта и резервного копирования;
• Mail.ru используется как почтовый сервис для адреса uk_ulesye@mail.ru. Если пользователь самостоятельно отправляет письмо, его обработка осуществляется в том числе почтовым сервисом Mail.ru;
• Яндекс.Карты: на Сайте загружается локально хранящееся изображение карты; встроенный JavaScript API удалён. Ссылка «Открыть в Яндекс Картах» ведёт на внешний сервис. Переход выполняется пользователем самостоятельно; при открытии внешнего сервиса браузер может передать ему технические сведения, необходимые для соединения. При загрузке страницы Сайта ресурсы Яндекса не запрашиваются;
• MAX: на Сайте размещены обычные ссылки на канал. Виджет, SDK и бот на Сайте не подключены. Данные передаются сервису MAX только при самостоятельном переходе пользователя; при этом браузер может передать сервису технические сведения, необходимые для соединения.

6.6. Системы аналитики, рекламные сети, пиксели, CRM, онлайн-консультанты и системы ретаргетинга не подключены. Яндекс.Метрика, Google Analytics и иные системы веб-аналитики не используются.

6.7. GitHub используется для хранения исходного кода, Google Drive — для проектной технической документации. Production-база, резервные копии базы, пароли, session-токены и персональные данные жителей в GitHub и Google Drive не выгружаются.

6.8. Сроки хранения персональных данных:

• сведения из электронных писем и обращений хранятся до достижения целей обработки, но не более 3 (трёх) лет с момента последнего взаимодействия, если более длительное хранение не требуется законом, договором или для рассмотрения спора;
• серверные журналы Nginx ротируются ежедневно; хранятся текущий журнал и до 14 архивных ротаций, после чего старые файлы автоматически удаляются или перезаписываются. Отдельные записи могут быть сохранены на период расследования конкретного инцидента безопасности;
• данные учётных записей сотрудников хранятся в течение срока действия учётной записи; сведения о сессиях — до окончания срока действия или отзыва, с последующим хранением в объёме, необходимом для безопасности и аудита;
• сведения, необходимые для исполнения договоров и обязательных требований закона, хранятся в течение соответствующих сроков, установленных законодательством и договорами.

7.1. Основная база данных проекта находится на территории Российской Федерации.

7.2. Production-сервер Сайта физически размещён в Москве, Российская Федерация, в инфраструктуре Timeweb.

7.3. На этом же сервере работают:

• публичный Сайт;
• backend API;
• закрытая административная панель;
• PostgreSQL.

7.4. PostgreSQL размещён в том же российском серверном контуре и не открыт непосредственно в Интернет: база доступна только локально или внутри сервера.

7.5. Резервные копии:

• автоматические резервные копии выполняются средствами Timeweb;
• резервные копии хранятся в инфраструктуре Timeweb в Москве, Российская Федерация;
• резервные копии production-базы с персональными данными за пределами Российской Федерации не используются.

7.6. Таким образом, основной production-сервер, PostgreSQL и автоматические резервные копии находятся в Российской Федерации, в Москве; зарубежные хранилища для production-базы и её резервных копий не используются.

7.7. Технические журналы Nginx хранятся на российском production-сервере Timeweb в Москве. Доступ к журналам ограничен техническим администратором; журналы не передаются в зарубежные сервисы аналитики или централизованного логирования. Записи, необходимые для расследования конкретного инцидента информационной безопасности, могут храниться отдельно на период расследования.

8.1. Техническую инфраструктуру Сайта предоставляет Timeweb как хостинг-провайдер.

8.2. Доступ к персональным данным в необходимом объёме имеют:

• ООО «УК «Улесье»;
• уполномоченные сотрудники ООО «УК «Улесье»;
• разработчик или технический администратор в рамках сопровождения системы;
• Timeweb в рамках предоставления серверной инфраструктуры и резервного копирования.

8.3. Конкретные лица, имеющие доступ к серверу, базе данных и административной панели, определяются внутренними документами Оператора. Обычным сотрудникам УК прямой SSH-доступ и прямой доступ к PostgreSQL не предоставляются.

8.4. Рекламным, маркетинговым и аналитическим платформам данные посетителей не передаются.

8.5. В текущей архитектуре Оператор не направляет данные посетителей в зарубежные сервисы. Сайт не загружает внешние аналитические и рекламные ресурсы. При самостоятельном переходе по ссылке на внешний сервис обработка технических сведений соединения выполняется этим сервисом по его правилам.

8.6. Production-сервер, PostgreSQL и автоматические резервные копии находятся на территории Российской Федерации.

8.7. Зарубежные сервисы аналитики, CRM, формы сбора данных, рекламные сети и зарубежные облачные базы для обработки данных посетителей Сайта не используются.

8.8. Если в будущем архитектура изменится или появятся новые внешние сервисы, до их подключения Оператор повторно оценит порядок обработки и передачи персональных данных.

9.1. На публичном Сайте пользовательские, аналитические и рекламные cookie не используются.

9.2. Строго необходимая cookie используется только в отдельной закрытой административной панели для авторизации сотрудников: ulesie_session. Cookie действует до 8 часов, имеет флаги HttpOnly и SameSite=Lax; в production также устанавливается флаг Secure.

10.1. Субъект имеет право:

• получать информацию, касающуюся обработки его персональных данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны или незаконно получены;
• отозвать согласие на обработку персональных данных, если обработка основана на согласии;
• обжаловать действия Оператора в Роскомнадзоре или в суде.

10.2. Для реализации своих прав субъект направляет письменный запрос на адрес электронной почты uk_ulesye@mail.ru или по почтовому адресу Оператора.

11.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на Сайте.

11.2. Актуальная версия Политики доступна по адресу: https://кп-улесье.рф/privacy-policy.

11.3. Контроль за исполнением настоящей Политики осуществляется Оператором.