Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее — Политика) определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые оператором ООО «АйТи-Изи» (далее — Оператор).

1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон), а также иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

1.3. Политика применяется ко всей информации, которую Оператор может получить о посетителях веб-сайта и пользователях программного обеспечения Glass Mail.

2. Сведения об операторе

Наименование	Общество с ограниченной ответственностью «АйТи-Изи» (ООО «АйТи-Изи»)
ИНН	9718191012
Адрес	г. Москва
Электронная почта	glassmail@itizi.ru
Веб-сайт	Glass Mail — почтовый клиент

3. Основные понятия

3.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

3.2. Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

3.3. Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

3.4. Субъект персональных данных — физическое лицо, чьи персональные данные обрабатываются Оператором.

4. Категории обрабатываемых персональных данных

4.1. Оператор обрабатывает следующие категории персональных данных пользователей программного обеспечения Glass Mail:

• Фамилия, имя, отчество;
• Адрес электронной почты;
• Учётные данные для подключения к почтовому серверу (IMAP/SMTP логин и пароль);
• IP-адрес;
• Содержание электронной корреспонденции (письма, вложения), хранящееся на серверах организации-пользователя;
• Данные аутентификации: логин и пароль для доступа к веб-интерфейсу Glass Mail;
• Данные двухфакторной аутентификации (2FA TOTP-секрет);
• Контактная информация: номер телефона (при указании пользователем).

4.2. Обработка специальных категорий персональных данных (расовая принадлежность, политические взгляды, философские убеждения, состояние здоровья, интимная жизнь) не осуществляется.

4.3. Обработка биометрических персональных данных не осуществляется.

4.4. Обработка персональных данных, разрешённых субъектом для распространения, не осуществляется.

5. Цели обработки персональных данных

5.1. Обработка персональных данных осуществляется в следующих целях:

• Регистрация и аутентификация пользователей в системе Glass Mail;
• Обеспечение работы почтового клиента: приём, отправка, хранение и поиск электронной корреспонденции по протоколам IMAP/SMTP;
• Обеспечение безопасности учётных записей: двухфакторная аутентификация (2FA), шифрование данных;
• Предоставление функциональных возможностей: календарь, контакты, фильтрация, автоответчик;
• Техническая поддержка пользователей и реагирование на обращения;
• Ведение журналов безопасности и аудит доступа;
• Исполнение требований законодательства Российской Федерации.

6. Правовые основания обработки персональных данных

6.1. Обработка персональных данных осуществляется на следующих правовых основаниях:

• Согласие субъекта персональных данных на обработку его персональных данных (ст. 6 п. 1 пп. 1 Закона);
• Исполнение договора, стороной которого является субъект персональных данных (ст. 6 п. 1 пп. 5 Закона);
• Обработка необходима для осуществления возложенных законодательством РФ на оператора функций (ст. 6 п. 1 пп. 7 Закона).

7. Действия (операции) с персональными данными

7.1. Оператор осуществляет следующие действия с персональными данными:

• Сбор — при регистрации пользователя и настройке учётной записи;
• Запись — сохранение в базе данных (SQLite) на сервере организации-пользователя;
• Систематизация и накопление — организация хранения в структуре базы данных;
• Хранение — хранение на сервере организации-пользователя в зашифрованном виде (AES-256-CBC);
• Уточнение (обновление, изменение) — при изменении пользователем своих данных;
• Извлечение — при доступе пользователя к своим данным через веб-интерфейс;
• Использование — для функционирования почтового клиента и его сервисов;
• Блокирование — при подозрении на несанкционированный доступ или по требованию субъекта;
• Удаление — по запросу субъекта или при удалении учётной записи;
• Уничтожение — при ликвидации организации или удалении базы данных.

8. Порядок и условия обработки персональных данных

8.1. Сбор и хранение

Персональные данные пользователей хранятся локально на сервере организации, развёрнувшей Glass Mail. Оператор (ООО «АйТи-Изи») не имеет доступа к персональным данным конечных пользователей, так как программное обеспечение развёртывается на серверах организации-пользователя.

8.2. Передача персональных данных

Передача персональных данных третьим лицам не осуществляется, за исключением случаев:

• Субъект персональных данных дал согласие на передачу;
• Передача предусмотрена законодательством Российской Федерации;
• Передача необходима для защиты жизни и здоровья субъекта.

8.3. Обработка с использованием средств автоматизации

Обработка персональных данных осуществляется с использованием средств автоматизации (программное обеспечение Glass Mail, серверное ПО, база данных SQLite). Доступ к автоматизированной системе ограничен паролями и двухфакторной аутентификацией.

8.4. Сроки обработки

Персональные данные обрабатываются до момента удаления учётной записи пользователя или до прекращения использования программного обеспечения организацией-пользователем.

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор принимает необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц:

• Шифрование данных — AES-256-CBC для хранения конфиденциальных данных (пароли, учётные записи);
• Защита транспортного уровня — HTTPS/TLS для всех соединений между клиентом и сервером;
• Шифрование почтовых соединений — IMAP over TLS (порт 993) и SMTP over TLS (порт 465);
• Двухфакторная аутентификация — TOTP (Time-based One-Time Password) по стандарту RFC 6238;
• Ограничение доступа — аутентификация на основе JWT-токенов с ограниченным сроком действия;
• Защита от CSRF — использование токена SameSite для cookie;
• Защита от XSS — экранирование выводимых данных, Content Security Policy;
• Ограничение частоты запросов (Rate Limiting) — не более 500 запросов за 15 минут;
• Изоляция данных — каждый экземпляр Glass Mail работает в собственном Docker-контейнере с изолированной базой данных;
• Резервное копирование — автоматическое ежедневное создание бэкапов базы данных;
• Журналирование — ведение логов доступа и действий пользователей для целей аудита;
• Файрвол — доступ только по портам 80, 443, 8833;
• Мониторинг — автоматическая проверка состояния системы (healthcheck).

10. Права субъекта персональных данных

10.1. Субъект персональных данных имеет право:

• Получить сведения об обработке своих персональных данных (ст. 14 Закона);
• Потребовать уточнения персональных данных в случае их неполноты, устаревания или неточности;
• Потребовать удаления персональных данных — при отзыве согласия на обработку или при отсутствии иных правовых оснований;
• Потребовать блокирования персональных данных при обнаружении неправомерной обработки;
• Отозвать согласие на обработку персональных данных в любой момент, что не влечёт за собой действий, совершённых до момента отзыва;
• Обратиться с жалобой в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор (адрес: г. Москва, Китайгородский проезд, д. 7, стр. 2; сайт: rkn.gov.ru).

10.2. Для реализации своих прав субъект персональных данных может обратиться к Оператору по адресу электронной почты: glassmail@itizi.ru.

11. Особенности обработки данных при использовании Glass Mail

11.1. Glass Mail является почтовым клиентом, развёртываемым на серверах организации-пользователя. Организация, установившая Glass Mail, выступает самостоятельным оператором персональных данных в отношении своих сотрудников/пользователей.

11.2. ООО «АйТи-Изи» как разработчик не имеет доступа к персональным данным пользователей Glass Mail и не осуществляет их обработку. Все данные хранятся исключительно на серверах организации-пользователя.

11.3. Организация-пользователь несёт ответственность за соблюдение требований 152-ФЗ в отношении персональных данных своих сотрудников и пользователей.

12. Использование файлов cookie

12.1. Веб-интерфейс Glass Mail использует файлы cookie для:

• Аутентификации пользователя и поддержания сессии (JWT-токен);
• Сохранения пользовательских настроек (выбранная тема: светлая/тёмная);
• Обеспечения безопасности (защита от CSRF-атак).

12.2. Cookie не используются для сбора аналитики, рекламы или отслеживания пользователей на других сайтах.

12.3. Отключение cookie в браузере может привести к невозможности использования веб-интерфейса Glass Mail.

13. Трансграничная передача персональных данных

13.1. Трансграничная передача персональных данных (передача на территорию иностранного государства) не осуществляется.

13.2. Все данные хранятся на территории Российской Федерации, на серверах организации-пользователя.

14. Внесение изменений в Политику

14.1. Оператор оставляет за собой право вносить изменения в настоящую Политику.

14.2. При внесении изменений в Политику Оператор размещает обновлённую версию на веб-сайте с указанием даты последнего обновления.

14.3. Действующая версия Политики всегда доступна по адресу: страница «Политика обработки персональных данных» на веб-сайте Glass Mail.

15. Контактная информация

15.1. По всем вопросам, связанным с обработкой персональных данных, субъект может обратиться к Оператору:

Наименование	ООО «АйТи-Изи»
ИНН	9718191012
Адрес	г. Москва
Электронная почта	glassmail@itizi.ru