Политика конфиденциальности
Это перевод. Действует английская редакция. English version
Эта политика – для людей, чьи персональные данные KITSIS CRM обрабатывает в своих целях: тех, кто работает в Сервисе, кто нам пишет, и посетителей kitsiscrm.com. Это информация, которую требуют статьи 13 и 14 GDPR (Регламент (ЕС) 2016/679).
С данными, которые компании ведут в своей CRM, иначе. Контакты, сделки, переписка и файлы в рабочем пространстве принадлежат компании, которая пользуется KITSIS. Для этих данных контролёр – компания, а мы обрабатываем их только по её поручению, по Договору об обработке данных. Если вы клиент или контакт такой компании, спрашивайте о своих данных её. Запрос, который придёт нам, мы ей передадим.
1. Контролёр
KITSIS CRM, индивидуальный предприниматель, зарегистрированный в польском реестре хозяйственной деятельности (CEIDG) под налоговым номером NIP 5223380752. Полное наименование и адрес открыто указаны в CEIDG по этому номеру.
По всем вопросам этой политики пишите на privacy@kitsiscrm.com. Инспектора по защите данных (DPO) мы не назначали: для нашей обработки закон его не требует.
2. Что мы обрабатываем, зачем и на каком основании
| Чьи данные | Что | Зачем | Основание (GDPR) |
|---|---|---|---|
| Пользователи Сервиса | имя, адрес почты, логин, пароль (хранится только хэшем Argon2id), роль, язык, фото и рабочий телефон, если их добавили | завести аккаунт, дать человеку входить и работать в Сервисе | ст. 6(1)(b) – для того, кто регистрирует компанию; ст. 6(1)(f) – для приглашённых: законный интерес наш и компании в работе Сервиса, который она заказала |
| Пользователи Сервиса | IP-адрес, браузер и устройство, время входа, сессии, коды входа, ключи входа (passkeys), неудачные попытки входа | защитить аккаунты: сессии, коды входа, блокировка после неверных паролей, список устройств, журнал доступа компании | ст. 6(1)(f): безопасность Сервиса |
| Пользователи Сервиса | адрес почты и текст письма | служебные письма: коды входа, сброс пароля, уведомления о безопасности, об оплате и удалении | ст. 6(1)(b) и 6(1)(f) |
| Пользователи Сервиса | технические отчёты об ошибках: страница, браузер, текст ошибки, личные данные скрыты | находить и исправлять ошибки | ст. 6(1)(f) |
| Контакты компаний для оплаты | название компании, почта, VAT-номер, адрес, состояние оплаты. Данные карты уходят в Stripe и к нам не попадают | брать плату за Сервис и вести учёт | ст. 6(1)(b) и ст. 6(1)(c): налоговое и бухгалтерское право |
| Те, кто нам пишет | адрес почты, имя, письмо | ответить и сохранить историю обращения | ст. 6(1)(f) |
| Посетители kitsiscrm.com | IP-адрес и данные запроса в журналах хостинга | показать сайт и защитить его | ст. 6(1)(f) |
Сайт kitsiscrm.com не ставит cookie, не ведёт аналитику и не подключает рекламные счётчики. Приложение на app.kitsiscrm.com ставит только нужные для работы cookie: сессию, защитный токен от поддельных запросов (CSRF) и отметку доверенного устройства на 30 дней. Язык интерфейса хранится в памяти браузера. Чтобы экраны открывались сразу, приложение там же держит копию недавно открытых экранов до 72 часов. При выходе из аккаунта она стирается.
Персональные данные мы не продаём, для рекламы не используем и решений о людях автоматически, в том числе профилированием, не принимаем.
3. Обязательно ли давать данные
Чтобы завести рабочее пространство, нужны название компании, адрес почты и пароль, чтобы пригласить Пользователя – его адрес почты. Без них мы не можем оказывать Сервис. Остальное – по желанию.
4. Кто получает данные
Мы пользуемся услугами подрядчиков, которые обрабатывают данные по нашему поручению, по договорам об обработке:
| Подрядчик | Зачем | Где |
|---|---|---|
| DigitalOcean, LLC | серверы и база данных | Франкфурт, Германия |
| OVH SAS | хранение файлов и зашифрованные резервные копии | Франция |
| Backblaze, Inc. | вторая зашифрованная копия резервных копий базы | Амстердам, Нидерланды |
| Vercel Inc. | доставка сайта и веб-приложения | глобальная сеть, в том числе США |
| Functional Software, Inc. (Sentry) | отчёты об ошибках, личные данные скрыты | регион ЕС, Франкфурт |
| Google (Google Workspace) | отправка служебных писем и наша почта | ЕС и США |
Актуальный список с подробностями – на странице подрядчиков.
Другие получатели:
- Stripe (Stripe Payments Europe, Limited, Ирландия) проводит платежи. В целях борьбы с мошенничеством и по своим обязанностям по закону Stripe – самостоятельный контролёр, см. stripe.com/privacy.
- Telegram доставляет внутренние оповещения нашей команде: названия новых компаний, изменения подписок и предупреждения об атаках на аккаунты. Логины и IP-адреса туда не уходят, только их короткие зашифрованные отпечатки. Данные пользователей из ЕЭЗ Telegram хранит в Нидерландах.
- Push-сервисы производителей браузеров (Apple, Google, Mozilla) доставляют уведомления на устройства, где Пользователь их включил. Текст уведомления зашифрован для устройства (RFC 8291), push-сервис его прочитать не может. Он видит адрес устройства, время и размер.
- Государственные органы, когда этого требует закон.
5. Передача за пределы ЕЭЗ
Некоторые подрядчики – компании из США: DigitalOcean, Backblaze, Vercel, Sentry и Google. Они сертифицированы по EU-US Data Privacy Framework, который Европейская комиссия признала обеспечивающим адекватную защиту (решение от 10 июля 2023 года), а в их договорах с нами есть и Стандартные договорные условия (решение Комиссии 2021/914). Копию этих гарантий можно запросить на privacy@kitsiscrm.com.
6. Сколько мы храним данные
| Данные | Срок |
|---|---|
| Данные аккаунта Пользователя | пока человек в рабочем пространстве. При удалении рабочего пространства удаляются и Пользователи, которых нет в других пространствах |
| Рабочее пространство после окончания подписки | 30 дней, затем удаление. Резервные копии исчезают не позже чем через 35 дней после удаления |
| Неудачные попытки входа | 1 день; журнал входов для блокировок – 180 дней |
| Журнал служебных писем | 90 дней |
| Журнал доступа компании | 24 месяца; это часть Сервиса и принадлежит компании |
| Отчёты об ошибках | срок хранения нашего тарифа в Sentry, затем удаляются автоматически |
| Платёжные и бухгалтерские записи | 5 лет с конца года, в котором возникла налоговая обязанность (налоговое право Польши) |
| Переписка с нами | до 3 лет после закрытия вопроса – срок исковой давности |
7. Ваши права
Вы вправе получить доступ к своим данным, исправить или удалить их, ограничить обработку, получить их в переносимом виде и возразить против обработки на основании нашего законного интереса (статьи 15–21 GDPR). Пишите на privacy@kitsiscrm.com. Мы отвечаем в течение 7 дней, а выполняем запрос не позже чем через месяц, как требует закон. Многое можно сделать самому: сменить имя и почту в профиле, скачать данные, выйти на других устройствах.
Вы также можете подать жалобу в надзорный орган: Prezes Urzędu Ochrony Danych Osobowych (Председатель Управления по защите персональных данных), ul. Stanisława Moniuszki 1A, 00-014 Warszawa, Польша, uodo.gov.pl.
8. Безопасность
Как мы защищаем данные, описано в Договоре об обработке данных, приложение 2. Как сообщить об уязвимости – на странице безопасности.
9. Изменения
Мы обновляем политику, когда меняется обработка. Дата текущей редакции – вверху. О важных изменениях пишем Пользователям.