Политика конфиденциальности

системы управления бизнесом «MyProfit»

1. Общие положения

1.1. Настоящая Политика конфиденциальности (далее — «Политика») устанавливает условия, цели, принципы и порядок обработки персональных данных (далее — «ПД») Пользователей при использовании программного продукта Profit ERP, принадлежащего Обществу с ограниченной ответственностью «TrackIT» (далее — «Владелец»).

1.2. MyProfit представляет собой интегрированную ERP/CRM-систему, предоставляющую доступ к функционалу автоматизации процессов учёта товарооборота, движения денежных средств, ведения базовой бухгалтерии и расчёта показателей юнит-экономики, в том числе с возможностью предоставления рекомендаций по установлению цен и анализа ключевых бизнес-метрик. Использование системы может включать доступ к веб-интерфейсу, а также авторизацию Владелца в цифровых каналах (например, в онлайн-магазинах клиентов) исключительно с согласия последних.

1.3. Под персональными данными в рамках настоящей Политики понимается любая информация, относящаяся к прямо или косвенно определённому физическому лицу (Пользователю), которая может быть использована для его идентификации, включая регистрационные, контактные, платёжные, поведенческие и иные данные, полученные при использовании системы MyProfit.

1.4. Настоящая Политика обязательна для всех Пользователей, взаимодействующих с системой MyProfit, включая:

лиц, использующих веб-интерфейс в качестве владельцев бизнеса или представителей юридических лиц;
сотрудников, прошедших авторизацию по приглашению или внутренней ссылке;
третьих лиц, получивших доступ по разрешению первичного Пользователя (например, бухгалтеры, аудиторы, консультанты);
технические посредники, предоставляющие подключение через API или иные каналы интеграции.

1.5. Использование MyProfit означает полное и безоговорочное согласие Пользователя с условиями настоящей Политики. В случае несогласия с Политикой, а также в случае отсутствия прав на предоставление ПД от имени третьих лиц, Пользователь обязан воздержаться от доступа к Системе.

1.6. Владелец осуществляет обработку ПД в строгом соответствии с законодательством Республики Узбекистан, в том числе с требованиями Закона Республики Узбекистан «О персональных данных» № ЗРУ-547 от 02.07.2019 г. Обработка осуществляется добросовестно, на законной основе, в объёме, необходимом для достижения конкретных целей.

1.7. Владелец оставляет за собой право в одностороннем порядке вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её публикации в пользовательском интерфейсе системы и является обязательной для всех Пользователей с момента публикации.

1.8. В случае, если в рамках интеграции с внешними платформами (например, онлайн-магазинами, системами учёта, каналами продаж) Владелец получает доступ к учётным записям клиентов по их прямому поручению (например, добавление аккаунта TrackIT в личный кабинет электронной торговой платформы клиента), такое подключение осуществляется исключительно в целях предоставления соответствующих услуг и в пределах согласованных полномочий. Пользователь обязуется самостоятельно обеспечить соблюдение условий платформ, к которым предоставляется доступ, и информировать третьих лиц о возможности такой интеграции. Владелец не использует доступ к таким системам в целях, выходящих за рамки предоставления функциональности Profit ERP.

2. Состав, категории и источники персональных данных

2.1. В рамках функционирования системы MyProfit осуществляется обработка следующих категорий персональных данных, предоставляемых непосредственно Пользователями либо автоматически собираемых при использовании системы:

А) Идентификационные и регистрационные данные:

имя и фамилия Пользователя;
адрес электронной почты, номер мобильного телефона, и иные контактные данные;
логин, пароль (в зашифрованном виде), идентификаторы авторизации;
реквизиты юридического лица, от имени которого действует Пользователь.

Б) Организационно-финансовые данные, содержащие персонализированные элементы:

информация о движении денежных средств и контрагентах, в той мере, в какой она связана с физическими лицами (например, ФИО, ПИНФЛ, платежные назначения);
данные о заказах, клиентах, поставщиках и сотрудниках;
информация, внесённая Пользователем вручную или импортированная из внешних систем (таблицы, учётные файлы, бухгалтерская документация и т.п.).

В) Технические и аналитические данные:

IP-адрес, регион подключения, язык интерфейса;
информация об используемом браузере, устройстве, операционной системе;
действия Пользователя в системе (навигация, нажатия, изменение настроек);
поведенческие события, включая логи, ошибки, частоту использования модулей;
статистика загрузки и выгрузки данных.

Г) Данные интеграции с внешними системами:

идентификаторы, пароли и токены доступа (хранимые в зашифрованном виде), предоставленные Пользователем для подключения внешних ресурсов (например, маркетплейсов, банков, систем учёта);
сведения о действиях, совершённых от имени Пользователя во внешней системе (например, синхронизация заказов или автоматическая выгрузка отчётов);
данные о привязанных внешних учетных записях и правах доступа к ним.

2.2. Источниками вышеуказанных данных являются:

прямое заполнение Пользователем форм, таблиц и модулей системы;
данные, импортированные по инициативе Пользователя из внешних источников (файлы, API, облачные хранилища и пр.);
автоматические средства сбора телеметрии и аналитики, встроенные в Profit ERP;
данные, предоставленные сотрудниками Пользователя в рамках их авторизованного доступа к системе.

2.3. Обработка персональных данных в системе не охватывает специальные (чувствительные) категории персональных данных, такие как сведения о расовой или этнической принадлежности, религиозных убеждениях, здоровье или политических взглядах. Если в рамках пользовательского ввода такие сведения вносятся в произвольной форме (например, в комментариях или примечаниях), ответственность за их предоставление лежит исключительно на Пользователе.

2.4. Обезличенные (анонимизированные) данные, собранные в рамках работы системы, включая агрегированные метрики использования, статистику модулей, частоту операций и иные сведения, не позволяющие идентифицировать конкретное лицо, могут использоваться Владельцем для целей внутреннего анализа, оптимизации, отчётности и разработки новых функций.

2.5. В случае предоставления доступа к системе третьим лицам по приглашению (например, бухгалтеру, внешнему аудитору), Пользователь несёт ответственность за правомерность предоставления соответствующего доступа и обязан обеспечить соблюдение третьими лицами положений настоящей Политики.

3. Цели и правовые основания обработки персональных данных

3.1. Обработка персональных данных в системе MyProfit осуществляется исключительно в целях, напрямую связанных с предоставлением, поддержанием и развитием функциональности системы, включая:

регистрацию и идентификацию Пользователя;
предоставление доступа к функциональным модулям Profit ERP;
ведение учёта операций, документов, расчётов и других элементов, содержащих персонализированные данные;
автоматизацию бухгалтерских, кадровых, финансовых и логистических процессов с участием физических лиц (например, сотрудников и клиентов Пользователя);
формирование аналитических отчётов, графиков, диаграмм и прогнозов на основе данных, содержащих персонализированные элементы;
интеграцию с внешними платформами, в том числе с электронными магазинами, банками, налоговыми системами и маркетплейсами, при условии, что такая интеграция была активирована Пользователем добровольно;
предоставление Пользователю справочной и технической поддержки;
обеспечение информационной и технической безопасности системы;
исполнение требований законодательства Республики Узбекистан в части хранения бухгалтерских документов, отчётности, защиты персональных данных и раскрытия информации по требованию уполномоченных органов.

3.2. Персональные данные обрабатываются исключительно в объёме, необходимом для достижения вышеуказанных целей, и не используются для иных задач, включая маркетинг, передачу третьим лицам, профилирование или автоматическое принятие решений, без получения отдельного и явного согласия Пользователя.

3.3. Правовыми основаниями для обработки персональных данных в рамках функционирования системы являются:

ст. 6, 7, 9 и 10 Закона Республики Узбекистан «О персональных данных» № ЗРУ-547 от 02.07.2019 года;
заключение договора (акцепт оферты, регистрация в системе) между Пользователем и Владельцем системы, в рамках которого обработка персональных данных необходима для исполнения обязательств сторон;
добровольное и осознанное согласие субъекта персональных данных на обработку сведений, если такие сведения вводятся Пользователем вручную в систему;
исполнение обязанностей, установленных действующим законодательством в сфере бухгалтерского учёта, налогообложения, трудовых отношений и гражданско-правовых обязательств.

3.4. Обработка персональных данных, полученных в процессе интеграции с внешними сервисами (например, маркетплейсами, кабинетами интернет-магазинов, облачными платформами учёта), осуществляется исключительно в объёме и в целях, прямо определённых Пользователем. При этом Пользователь подтверждает, что имеет законные основания на предоставление доступа к таким данным, включая данные третьих лиц.

3.5. В случаях, когда для обработки определённых видов данных (например, чувствительных персональных сведений, не предусмотренных базовой функциональностью системы) требуется отдельное согласие субъекта персональных данных, такое согласие должно быть оформлено в соответствии с требованиями закона и самостоятельно обеспечивается Пользователем как оператором этих данных.

3.6. Владелец не осуществляет скрытую или массовую обработку персональных данных, выходящую за рамки заявленных целей. Любое расширение перечня целей требует отдельного публичного уведомления и, при необходимости, получения дополнительного согласия Пользователя.

4. Сроки хранения, порядок удаления и отзыв согласия

4.1. Персональные данные, обрабатываемые в системе MyProfit, подлежат хранению в течение срока, необходимого для достижения целей их обработки, установленных в Главе 3 настоящей Политики, но не дольше, чем это допускается применимым законодательством Республики Узбекистан.

4.2. Конкретные сроки хранения устанавливаются в зависимости от категории данных и вида обработки, и составляют:

Категория персональных данных	Срок хранения
Регистрационные данные Пользователя и связанные с авторизацией	До момента удаления учётной записи
Данные сотрудников, клиентов, контрагентов, введённые Пользователем	До момента удаления соответствующего объекта, но не менее сроков, установленных законом о бухгалтерии и налогообложении (до 5 лет)
Документы бухгалтерского, налогового и кадрового учёта	В соответствии с требованиями законодательства Республики Узбекистан (обычно не менее 5 лет)
Лог-файлы событий, действий в интерфейсе, технические метки	До 12 месяцев с момента генерации
Интеграционные данные с внешними платформами (API, магазины)	До отключения интеграции Пользователем

4.3. Пользователь вправе в любой момент:

отозвать согласие на обработку персональных данных;
потребовать удаления или обезличивания определённых категорий персональных данных;
запросить экспорт своих данных в машиночитаемом формате;
прекратить использование системы и удалить учётную запись.

4.4. Для реализации своих прав Пользователь может использовать функционал личного кабинета в системе MyProfit либо направить письменный запрос по контактным данным, указанным в настоящей Политике.

4.5. Отзыв согласия и удаление учётной записи может повлечь за собой прекращение действия договора и невозможность дальнейшего использования системы, если обработка персональных данных необходима для её функционирования.

4.6. После получения запроса на удаление персональных данных Владелец обязуется:

в течение 30 (тридцати) календарных дней выполнить удаление или обезличивание информации, за исключением тех данных, хранение которых требуется по закону;
уведомить Пользователя о результатах выполнения запроса.

4.7. Удаление учётной записи или данных не означает автоматической отмены действующих обязательств Пользователя по оплате платных услуг или аннулирования доступа к уже сгенерированным документам. Пользователь обязан самостоятельно произвести отключение платных тарифов через интерфейс системы.

4.8. В случае удаления данных или блокировки доступа по инициативе Владельца в связи с нарушением условий использования системы или требований закона, персональные данные могут быть сохранены в обезличенном или зашифрованном виде в целях предотвращения злоупотреблений, защиты интересов системы и выполнения обязанностей по запросу государственных органов.

5. Защита информации, меры безопасности и права Пользователя

5.1. Владелец системы MyProfit (ООО «TrackIT») реализует комплекс правовых, организационных и технических мер, направленных на обеспечение конфиденциальности, целостности и доступности персональных данных, предотвращение их неправомерной обработки, утраты или несанкционированного доступа третьих лиц.

5.2. Для защиты персональных данных и другой информации, обрабатываемой в системе, применяются, в частности:

контроль авторизации и доступа на основе логинов, паролей, многофакторной аутентификации и ролевой модели прав;
сквозное шифрование при передаче и хранении данных, включая использование TLS/SSL, а также шифрование баз данных и резервных копий;
сегментирование серверной инфраструктуры, ограничение доступа к административным панелям и API-интерфейсам;
постоянный аудит действий пользователей и администраторов, ведение журналов событий (логов);
защита от внешних атак (DDoS, SQL-инъекции, XSS и др.) с использованием современных систем обнаружения и предотвращения угроз (IDS/IPS);
резервное копирование и дублирование критически важных компонентов с регулярной проверкой их восстановления;
ограничение прав сотрудников ООО «TrackIT» на доступ к данным Пользователя исключительно в объёме, необходимом для оказания технической поддержки или выполнения обязательств по договору (принцип «необходимого знания»).

5.3. В случае инцидента, связанного с компрометацией персональных данных или попыткой несанкционированного доступа, Владелец обязуется:

незамедлительно локализовать и заблокировать источник угрозы;
провести внутреннее расследование обстоятельств инцидента;
при необходимости уведомить уполномоченные органы и затронутых Пользователей в порядке, установленном законодательством;
реализовать корректирующие меры для минимизации последствий и предотвращения повторения инцидента.

5.4. Все сотрудники ООО «TrackIT», имеющие доступ к персональным данным, проходят обязательный инструктаж и подписывают соглашение о неразглашении (NDA). Нарушение режима конфиденциальности влечёт дисциплинарную и юридическую ответственность.

5.5. Пользователь обладает всеми правами, предусмотренными Законом Республики Узбекистан «О персональных данных» № ЗРУ-547 от 02.07.2019 года, включая:

право на получение информации о факте и целях обработки его персональных данных;
право на доступ к своим данным, их исправление, обновление, блокировку или удаление;
право на отзыв ранее данного согласия на обработку;
право на ограничение способов обработки;
право на защиту своих прав в суде или через уполномоченные государственные органы.

5.6. Для реализации своих прав Пользователь может направить соответствующий запрос в письменной форме либо через интерфейс системы MyProfit. Ответ предоставляется в течение 30 (тридцати) календарных дней с момента получения запроса.

5.7. Владелец не несёт ответственности за последствия действий третьих лиц, получивших доступ к данным Пользователя по вине самого Пользователя, включая случаи:

передачи логинов и паролей третьим лицам;
использования скомпрометированных или небезопасных устройств;
отсутствия должной настройки защиты корпоративного оборудования или браузера.

6. Трансграничная передача данных, взаимодействие с государственными органами и контакты

6.1. В связи с особенностями архитектуры системы MyProfit, в том числе использованием облачных решений, персональные данные Пользователей могут передаваться и храниться за пределами территории Республики Узбекистан исключительно с соблюдением требований законодательства и обеспечением эквивалентного уровня защиты.

6.2. Трансграничная передача данных допускается при наличии следующих условий:

выбранная страна обеспечивает надлежащую правовую защиту персональных данных в соответствии с международными стандартами;
заключены соответствующие соглашения о защите персональных данных (Data Protection Agreements) с операторами хранилищ, облачных провайдеров или технических партнёров;
реализованы механизмы шифрования, аутентификации и контроля доступа, исключающие возможность несанкционированного вмешательства в обработку данных.

6.3. Пользователь, принимая настоящую Политику, выражает согласие на трансграничную передачу своих персональных данных в пределах, необходимых для функционирования системы MyProfit, включая, но не ограничиваясь: регистрационными данными, данными учётных записей, финансовыми и контрактными сведениями, системными журналами и телеметрией.

6.4. Владелец вправе предоставить персональные данные Пользователя по официальному запросу уполномоченных органов Республики Узбекистан исключительно в случаях и в порядке, предусмотренных действующим законодательством. При этом передача осуществляется только:

при наличии должным образом оформленного документа (запрос, постановление, определение суда);
в объёме, соразмерном цели запроса;
при условии, что передача не нарушает прав и законных интересов иных субъектов персональных данных.

6.5. Пользователь вправе направлять любые запросы, замечания, обращения и требования, связанные с обработкой его персональных данных, по следующим официальным каналам:

Электронная почта: [email protected]
Юридический и почтовый адрес: Республика Узбекистан, г. Ташкент, 100158, Бектемирский район, ул. Хусейна Байкаро, дом 51, офис 2, ООО «TrackIT»
Юридический отдел: по предварительному письменному запросу через интерфейс системы.

6.6. Применимым правом к настоящей Политике и отношениям, возникающим в связи с её реализацией, является право Республики Узбекистан. Все споры и разногласия, неурегулированные в претензионном порядке, подлежат рассмотрению исключительно в судебных органах Республики Узбекистан по месту регистрации Владельца.

6.7. Настоящая Политика вступает в силу с момента её публикации в интерфейсе системы MyProfit и действует до момента её официальной замены или отмены. В случае существенного изменения условий Политики, Пользователи будут уведомлены надлежащим образом.