Политика конфиденциальности

1. Введение

Настоящая Политика конфиденциальности описывает, как Sahlix («мы», «компания») собирает, использует, хранит и раскрывает персональные данные при использовании платформы онлайн-записи, мобильного и веб-приложений и связанных сервисов (далее — Сервисы).

Sahlix выступает оператором персональных данных в отношении данных посетителей сайта, владельцев аккаунтов и конечных клиентов салонов, использующих Сервисы. Сами салоны выступают самостоятельными операторами в отношении данных своих клиентов; в этом случае мы действуем как обработчик по их поручению.

Политика разработана для одновременного соблюдения Федерального закона № 152-ФЗ «О персональных данных», Общего регламента ЕС 2016/679 (GDPR) там, где он применим, и Закона о защите персональных данных Королевства Саудовская Аравия (PDPL).

2. Определения

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому физическому лицу (субъекту ПДн).
• Субъект персональных данных — физическое лицо, к которому относятся ПДн.
• Оператор — лицо, определяющее цели и средства обработки ПДн.
• Обработчик — лицо, обрабатывающее ПДн по поручению оператора.
• Обработка — любое действие с персональными данными, совершаемое автоматически или без использования автоматизации.
• Трансграничная передача — передача ПДн на территорию иностранного государства.

3. Какие данные мы собираем

Мы собираем следующие категории персональных данных:

• Идентификационные данные — имя, фамилия, фотография профиля (по желанию).
• Контактные данные — номер телефона, e-mail, юридический адрес салона.
• Данные о записях — выбранные услуги, мастера, даты, время, цены.
• Платёжные данные — записи о платежах, история тарифов, счета.
• Технические данные — IP-адрес, тип устройства, браузер, операционная система, идентификаторы устройства, журналы доступа.
• Данные об использовании — использованные функции, посещённые экраны, действия в Сервисах.
• Маркетинговые данные — предпочтения по коммуникациям и записи согласий.

4. Правовые основания обработки

Мы обрабатываем ПДн на следующих основаниях:

• Договор — для предоставления Сервисов, на которые вы подписались (152-ФЗ ст. 6 п. 5; GDPR ст. 6(1)(b)).
• Согласие субъекта — для маркетинговых рассылок, опциональной аналитики и обработки специальных категорий ПДн (152-ФЗ ст. 9; GDPR ст. 6(1)(a)). Согласие может быть отозвано в любой момент.
• Законная обязанность — для соблюдения требований налогового, бухгалтерского законодательства и противодействия отмыванию доходов (152-ФЗ ст. 6 п. 2; GDPR ст. 6(1)(c)).
• Законный интерес — для обеспечения безопасности Сервисов, предотвращения мошенничества и улучшения качества продукта (GDPR ст. 6(1)(f)).

5. Особенности обработки по 152-ФЗ

В отношении субъектов ПДн, находящихся на территории Российской Федерации:

• Локализация (152-ФЗ ст. 18 ч. 5): запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан РФ осуществляется с использованием баз данных, расположенных на территории Российской Федерации.
• Уведомление в Роскомнадзор: деятельность по обработке ПДн зарегистрирована в Реестре операторов, ведущемся Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций.
• Согласие в письменной форме: для случаев, когда требуется письменное согласие (ст. 9 ч. 4 152-ФЗ), мы используем электронную форму, юридически приравненную к простой электронной подписи.
• Отзыв согласия: субъект ПДн вправе отозвать согласие в любое время, направив запрос на privacy@sahlix.io с темой «Отзыв согласия». Прекращение обработки осуществляется в течение 10 рабочих дней.

6. Особенности обработки по GDPR (ЕС/ЕЭП)

Для субъектов, находящихся в Европейском союзе или Европейской экономической зоне, мы обеспечиваем все права, предусмотренные GDPR (см. раздел 8). Передача ПДн в страны, не обеспечивающие адекватный уровень защиты, осуществляется на основании Стандартных договорных положений (SCC) Решения Европейской комиссии 2021/914.

7. Особенности обработки по PDPL (КСА)

Для субъектов в Королевстве Саудовская Аравия:

• Получаем явное согласие, когда это требуется ст. 6 PDPL.
• Не передаём ПДн за пределы Королевства, кроме случаев, предусмотренных ст. 29 PDPL (адекватный уровень защиты, договорные гарантии в форме SCC КСА, или явное согласие субъекта).
• Соблюдаем права на доступ, исправление и удаление, предусмотренные ст. 4, 9, 10 PDPL.

8. Ваши права

По 152-ФЗ

• Право на получение информации об обработке ПДн (ст. 14).
• Право на доступ к своим ПДн.
• Право требовать уточнения, блокирования или уничтожения ПДн (ст. 14, 21).
• Право на отзыв согласия в любое время.
• Право обжаловать действия оператора в Роскомнадзоре или в суде.

По GDPR

• Право на доступ (ст. 15)
• Право на исправление (ст. 16)
• Право на удаление (ст. 17)
• Право на ограничение обработки (ст. 18)
• Право на переносимость данных (ст. 20)
• Право на возражение (ст. 21)
• Право подать жалобу в надзорный орган (ст. 77)

Для реализации любого права направьте обращение на privacy@sahlix.io. Мы отвечаем в течение 30 календарных дней (для запросов по 152-ФЗ — 10 рабочих дней).

9. Сроки хранения

10. Трансграничная передача

Передача ПДн в страны, не обеспечивающие адекватный уровень защиты, осуществляется только при наличии:

• письменного согласия субъекта ПДн (152-ФЗ ст. 12);
• Стандартных договорных положений (SCC) для GDPR-юрисдикций;
• SCC КСА для трансграничных передач из Саудовской Аравии.

11. Cookie-файлы

Мы используем cookie-файлы и аналогичные технологии для:

• Строго необходимых функций — авторизация, безопасность сессии. Согласие не требуется.
• Функциональных настроек — язык интерфейса, предпочтения отображения.
• Аналитики использования — только с согласия пользователя в юрисдикциях, где это требуется.

Управлять настройками cookie можно в браузере или через баннер при первом посещении.

12. Меры безопасности

Мы применяем технические и организационные меры, включая шифрование при передаче (TLS 1.3) и при хранении, ролевой контроль доступа, журналирование, регулярные тесты на проникновение и задокументированный план реагирования на инциденты. При утечке ПДн мы уведомляем Роскомнадзор и соответствующие надзорные органы в установленные законом сроки (для 152-ФЗ — в течение 24 часов с момента обнаружения).

13. Контакты

По любым вопросам, связанным с настоящей Политикой:

• Ответственный за обработку ПДн: privacy@sahlix.io
• Общие вопросы: contact@sahlix.io
• Поддержка: support@sahlix.io

Политика может обновляться. О существенных изменениях мы сообщим через Сервисы или по электронной почте.