Политика обработки персональных данных

Белград, Республика Сербия

О чем эта Политика?

Настоящая Политика конфиденциальности / Политика обработки персональных данных (далее – «Политика») определяет порядок сбора, обработки, использования, хранения, передачи и защиты персональных данных субъектов данных Контролером в ходе его деятельности, включая деятельность, осуществляемую через сайт, Telegram (бот, каналы, чаты), платформу GetCourse, платежный сервис Lava.top, PayPal, банковский счет, YouTube, Instagram, инструменты видеосвязи (Google Meet, Skype, Zoom), облачные сервисы и иные цифровые сервисы, используемые или контролируемые Контролером.

Настоящая Политика разработана в соответствии с Законом о защите персональных данных Республики Сербия (Zakon o zaštiti podataka o ličnosti, «Sl. glasnik RS», br. 87/2018) и, где применимо к направлению коммерческих электронных сообщений, Законом об электронной торговле (Zakon o elektronskoj trgovini, «Sl. glasnik RS», br. 41/2009, 95/2013 i 52/2019).

Политика объясняет:

• какие категории персональных данных собираются Контролером;

• для каких целей и на каких законных основаниях такие данные обрабатываются;

• как персональные данные используются, хранятся и защищаются;

• в каких случаях и на каких основаниях персональные данные могут передаваться третьим лицам;

• могут ли персональные данные передаваться за пределы Республики Сербия;

• какие права предоставлены субъектам данных в соответствии с применимым законодательством о защите данных и как они могут быть реализованы.

Настоящая Политика размещается через официальные цифровые ресурсы и каналы связи Контролера и применяется к субъектам данных, взаимодействующим с такими ресурсами и каналами, включая клиентов, потенциальных клиентов, пользователей, участников программ коучинга и онлайн-курсов, контрагентов, представителей юридических лиц и иных лиц, чьи персональные данные обрабатываются Контролером.

Контролер оказывает услуги коучинга и реализует инфопродукты и онлайн-курсы, в том числе через сайт, Telegram (бот, каналы, чаты), платформу GetCourse, платежный сервис Lava.top, а также Google Meet, Skype, Zoom и иные онлайн-платформы или сервисы, которые могут использоваться Контролером время от времени.

Контролер принимает надлежащие правовые, организационные и технические меры для обеспечения защиты персональных данных от несанкционированной или незаконной обработки, а также от случайной утраты, уничтожения или повреждения, в соответствии с применимым законодательством о защите данных.

Контролер стремится обеспечить, чтобы информация, предоставляемая пользователям, включая описание услуг и условий обработки персональных данных, была точной, прозрачной, понятной и не вводящей в заблуждение.

Термины и определения

Персональные данные. любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу. Идентифицируемое физическое лицо – это лицо, которое может быть идентифицировано, прямо или косвенно, в частности посредством ссылки на идентификатор, такой как имя, идентификационный номер, данные о местоположении, онлайн-идентификатор, идентификатор мессенджера, идентификатор социальной сети, или на один или несколько факторов, характерных для физической, физиологической, генетической, психической, экономической, культурной или социальной идентичности такого лица.

Субъект данных. идентифицированное или идентифицируемое физическое лицо, чьи персональные данные обрабатываются Контролером, включая клиентов, потенциальных клиентов, пользователей, взаимодействующих с цифровыми ресурсами Контролера, подрядчиков, представителей и контактных лиц юридических лиц, а также индивидуальных предпринимателей / самозанятых лиц в той мере, в какой соответствующие данные относятся к идентифицируемому физическому лицу.

Контролер / Контролер данных. лицо, которое определяет цели и средства обработки персональных данных. Для целей настоящей Политики Контролером является Oksana Istomina PR Mentalth, ПИБ: 113149648, с зарегистрированным адресом: Dunavski kej 48, Stari grad, 11000 Beograd, Republika Srbija, e-mail: oksana.istomina@gmail.com.

Обработка персональных данных. любая операция или совокупность операций, выполняемых с персональными данными, независимо от того, осуществляются ли они автоматизированными средствами, включая сбор, запись, организацию, структурирование, хранение, адаптацию или изменение, извлечение, ознакомление, использование, раскрытие путем передачи, распространение или иное предоставление доступа, сопоставление или объединение, ограничение, удаление или уничтожение.

Конфиденциальность и безопасность персональных данных. обязанность Контролера, его подрядчиков, обработчиков и иных уполномоченных лиц защищать персональные данные от несанкционированного доступа, незаконного раскрытия, изменения, утраты, уничтожения или иной незаконной обработки, за исключением случаев, когда раскрытие требуется или разрешено применимым законодательством.

Ресурсы Контролера. сайт, Telegram-каналы и чаты, Telegram-бот, GetCourse, платежные платформы (Lava.top, PayPal), YouTube и Instagram, инструменты видеосвязи, облачные сервисы, e-mail-коммуникации, формы, рассылки и иные цифровые каналы и сервисы, используемые Контролером.

Cookies. небольшие текстовые файлы или аналогичные технологии, размещаемые на устройстве пользователя при использовании сайта или лендинга Контролера, включая для целей аналитики (Google Analytics), управления тегами (Google Tag Manager), поисковой оптимизации (Google Search Console), рекламы (Meta Pixel) и управления согласием (CookieYes).

IP-адрес. уникальный сетевой идентификатор, присваиваемый устройству пользователя в Интернете, который может обрабатываться для технических целей, целей безопасности, аналитики, предотвращения мошенничества, функционирования сервиса и соблюдения требований законодательства.

Обработчик / Обработчик персональных данных. физическое или юридическое лицо, которое обрабатывает персональные данные от имени Контролера и в соответствии с его инструкциями, включая хостинг-провайдеров, платежные сервисы (Lava.top, PayPal), платформу GetCourse, сервисы видеосвязи, Telegram, аналитические и рекламные сервисы, консультантов и иных поставщиков услуг.

Специальные категории персональных данных. персональные данные, раскрывающие расовое или этническое происхождение, политические взгляды, религиозные или философские убеждения, членство в профсоюзе, генетические или биометрические данные, данные о здоровье, сексуальной жизни или сексуальной ориентации физического лица.

Надзорный орган. компетентный орган по защите данных. В Республике Сербия компетентным надзорным органом является Поверенник по вопросам информации общественного значения и защиты персональных данных Республики Сербия (далее – «Поверенник»), действующий на основании Закона о защите персональных данных Республики Сербия (Zakon o zaštiti podataka o ličnosti, «Sl. glasnik RS», br. 87/2018).

Что такое персональные данные?

Персональные данные – это любая информация, относящаяся к идентифицированному или идентифицируемому физическому лицу. Идентифицируемое физическое лицо – это лицо, которое может быть идентифицировано, прямо или косвенно, в частности посредством ссылки на идентификатор, такой как имя, идентификационный номер, данные о местоположении, онлайн-идентификатор, идентификатор мессенджера, или на один или несколько факторов, характерных для физической, физиологической, экономической, культурной или социальной идентичности такого лица.

Контролер обрабатывает персональные данные только в объеме, необходимом для достижения конкретных, явных и законных целей, изложенных в настоящей Политике, и в соответствии с Законом о защите персональных данных Республики Сербия (Zakon o zaštiti podataka o ličnosti, «Sl. glasnik RS», br. 87/2018).

Контролер обрабатывает только такие персональные данные, которые:

• получены непосредственно от субъекта данных или из иных законных источников;

• соответствуют целям обработки, указанным в настоящей Политике;

• являются адекватными, релевантными и ограниченными тем, что необходимо в отношении целей, для которых они обрабатываются;

• являются точными и, где необходимо, поддерживаются в актуальном состоянии;

• хранятся не дольше, чем это необходимо для целей, для которых они обрабатываются, если более длительный срок хранения не требуется или не разрешен применимым законодательством.

Предоставляя персональные данные при использовании Ресурсов Контролера, включая посредством направления сообщений, подачи запросов, приобретения или получения доступа к Инфопродуктам или Коучингу, присоединения к Telegram-каналам или чатам, участия в видеозвонках или иного взаимодействия с Контролером, субъект данных признает, что его персональные данные будут обрабатываться в соответствии с настоящей Политикой.

В случаях, когда обработка основана на согласии, такое согласие запрашивается отдельно и может быть отозвано в любое время.

Правовые основания и принципы обработки персональных данных

Контролер обрабатывает персональные данные законно, справедливо и прозрачно, в рамках заявленных целей и в соответствии с Законом о защите персональных данных Республики Сербия (Zakon o zaštiti podataka o ličnosti, «Sl. glasnik RS», br. 87/2018).

До или во время сбора персональных данных Контролер предоставляет субъекту данных информацию, требуемую применимым законодательством о защите данных, включая информацию об идентификационных и контактных данных Контролера, целях и законных основаниях обработки, категориях получателей, сроках хранения, правах субъекта данных, праве подать жалобу Поверенику и, где применимо, информацию о международных передачах данных.

Обработка персональных данных осуществляется на основании одного или нескольких законных оснований, предусмотренных Законом (ст. 12), включая:

• согласие субъекта данных, когда согласие требуется или выбрано в качестве применимого законного основания;

• необходимость для исполнения договора, стороной которого является субъект данных, или для принятия мер по запросу субъекта данных до заключения договора;

• необходимость для соблюдения юридического обязательства, которому подчиняется Контролер;

• необходимость для защиты жизненно важных интересов субъекта данных или иного физического лица, где применимо;

• необходимость для целей законных интересов, преследуемых Контролером или третьей стороной, за исключением случаев, когда такие интересы перевешиваются интересами или основными правами и свободами субъекта данных.

Принципы обработки

Законность, справедливость и прозрачность Контролер обрабатывает персональные данные на действительном законном основании, предоставляет субъектам данных ясную и доступную информацию о целях, законных основаниях и способах обработки.

Ограничение цели Персональные данные собираются для определенных, явных и законных целей и не обрабатываются далее способом, несовместимым с такими целями.

Минимизация данных Контролер обрабатывает только такие персональные данные, которые являются адекватными, релевантными и ограниченными тем, что необходимо в отношении целей, для которых они обрабатываются.

Точность Контролер принимает разумные меры для обеспечения того, чтобы персональные данные были точными и, где необходимо, поддерживались в актуальном состоянии.

Ограничение хранения Персональные данные хранятся не дольше, чем это необходимо для целей, для которых они обрабатываются, если более длительный срок хранения не требуется или не разрешен применимым законодательством.

Целостность и конфиденциальность Контролер внедряет надлежащие технические и организационные меры для защиты персональных данных от несанкционированной или незаконной обработки, а также от случайной утраты, уничтожения или повреждения.

Подотчетность Контролер несет ответственность за соблюдение этих принципов и должен быть способен продемонстрировать соответствие обработки Закону.

Для маркетинговых сообщений, необязательных cookies, аналитических cookies (Google Analytics), рекламных пикселей (Meta Pixel) и аналогичных технологий Контролер получает согласие через баннер CookieYes, когда это требуется применимым законодательством, включая Законом об электронной торговле (Zakon o elektronskoj trgovini, «Sl. glasnik RS», br. 41/2009, 95/2013 i 52/2019).

Правовые основания обработки – подробнее

Согласие субъекта данных. Контролер обрабатывает персональные данные на основании свободно предоставленного, конкретного, информированного и недвусмысленного согласия, когда согласие требуется или выбрано в качестве применимого законного основания – в частности, для маркетинговых рассылок, использования отзывов/кейсов, необязательных cookies. Согласие может быть предоставлено посредством отметки чекбокса, нажатия кнопки в Telegram-боте, отправки формы или подтверждающего сообщения. Субъект данных вправе отозвать согласие в любое время без ущерба для законности обработки, совершенной до отзыва.

Договорная необходимость. Контролер обрабатывает персональные данные, когда это необходимо для исполнения договора (оказания Услуг Коучинга, предоставления доступа к Инфопродуктам через GetCourse) либо для принятия мер по запросу субъекта данных до заключения договора.

Юридическое обязательство. Персональные данные могут обрабатываться для соблюдения налоговых, бухгалтерских и иных обязательных требований законодательства Республики Сербия, ответов на законные запросы государственных органов, судов и Поверенника.

Законные интересы Контролера. Обработка в целях администрирования и безопасности Ресурсов Контролера, предотвращения мошенничества, ведения деловой переписки с контрагентами, защиты прав и правовой позиции Контролера, в том числе в связи с фактическими или потенциальными требованиями.

Жизненно важные интересы. Применяется только в исключительных обстоятельствах, когда обработка необходима для защиты жизни, здоровья или безопасности.

Маркетинговые сообщения и электронные коммерческие сообщения. Направляются на основании согласия и с соблюдением требований Закона об электронной торговле (Zakon o elektronskoj trgovini, «Sl. glasnik RS», br. 41/2009, 95/2013 i 52/2019): каждое сообщение четко идентифицируется как коммерческое, указывает отправителя и содержит простой способ отписки.

Для каких целей Контролер обрабатывает ваши персональные данные?

Использование cookies и аналогичных технологий

Сайт/лендинг Контролера использует cookies и аналогичные технологии, включая:

• Google Tag Manager – для управления тегами и подключения аналитических/рекламных сервисов;

• Google Analytics – для анализа посещаемости и поведения пользователей на сайте;

• Google Search Console – для мониторинга индексации и поисковой выдачи сайта;

• Facebook/Meta Pixel – для измерения эффективности рекламы в Instagram/Facebook и формирования рекламных аудиторий;

• CookieYes – сервис управления согласием на использование cookies (Consent Management Platform).

Строго необходимые cookies используются без согласия пользователя. Аналитические (Google Analytics) и рекламные (Meta Pixel) cookies являются необязательными и используются только после получения согласия через баннер CookieYes при первом посещении сайта.

Контролер может использовать сторонние платформы (Telegram, Lava.top, GetCourse), которые могут применять собственные cookies или аналогичные технологии в соответствии со своими политиками конфиденциальности. Использование cookies и аналогичных технологий осуществляется в соответствии с Законом о защите персональных данных Республики Сербия (Zakon o zaštiti podataka o ličnosti, «Sl. glasnik RS», br. 87/2018) и, где применимо, Законом об электронной торговле (Zakon o elektronskoj trgovini, «Sl. glasnik RS», br. 41/2009, 95/2013 i 52/2019).

Пользователь может в любой момент изменить настройки согласия через панель CookieYes или настройки браузера. Отзыв согласия не влияет на законность обработки, совершенной до отзыва.

Передача персональных данных третьим лицам

Контролер может раскрывать или передавать персональные данные третьим лицам только в объеме, необходимом для достижения целей, изложенных в настоящей Политике, и только при наличии действительного законного основания.

Такие получатели персональных данных могут включать:

• Telegram – для коммуникации с пользователями, работы автоворонки/Telegram-бота, направления материалов и организационных сообщений;

• Lava.top – платежный сервис для приема оплаты за Инфопродукты, онлайн-курсы и Коучинг (в USD/EUR);

• PayPal и банк, обслуживающий расчетный счет Контролера, – для приема оплаты за Коучинг;

• GetCourse – платформа для предоставления доступа к материалам онлайн-курсов и учета выдачи доступа;

• Google Meet, Zoom, Skype – для проведения консультаций и сессий коучинга;

• YouTube, Instagram (Meta) – для продвижения услуг и работы рекламной автоворонки;

• Google (Analytics, Tag Manager, Search Console) и Meta (Pixel), CookieYes – для веб-аналитики, измерения эффективности рекламы и управления согласием на cookies;

• поставщики хостинга, облачных сервисов и IT-услуг – для хранения и обеспечения работы сайта, бота и цифровых ресурсов Контролера;

• бухгалтерские, налоговые и юридические консультанты – для целей учета, отчетности и правовой поддержки Контролера;

• государственные органы, суды и Поверенник – когда это требуется или разрешено применимым законодательством.

Контролер привлекает обработчиков на основании договора об обработке данных или иного юридически обязательного соглашения, где это требуется применимым законодательством. Такие обработчики обрабатывают персональные данные только на основании документированных инструкций Контролера, обеспечивают конфиденциальность и внедряют надлежащие меры безопасности.

Международные передачи персональных данных

Контролер учрежден в Республике Сербия и по общему правилу стремится обрабатывать персональные данные в пределах Республики Сербия, где это разумно возможно.

Однако в связи с использованием зарубежных цифровых сервисов – Telegram, Lava.top, GetCourse, PayPal, Google (Analytics, Tag Manager, Search Console), Meta/Facebook (Instagram, Meta Pixel), YouTube, CookieYes и сервисов видеосвязи – персональные данные могут передаваться и обрабатываться за пределами Республики Сербия, в том числе на территории США и стран ЕС, где расположены дата-центры или головные офисы указанных поставщиков.

Контролер предпринимает разумные меры для обеспечения того, чтобы такая передача осуществлялась с соблюдением требований Закона о защите персональных данных Республики Сербия (Zakon o zaštiti podataka o ličnosti, «Sl. glasnik RS», br. 87/2018), в том числе путем использования поставщиков услуг, публично заявляющих о соответствии международным стандартам защиты данных (включая GDPR), и путем ограничения объема передаваемых данных тем, что необходимо для соответствующей цели.

Общий регламент ЕС по защите данных (GDPR) может применяться дополнительно только в случае и в той мере, в какой Контролер прямо предлагает услуги субъектам данных, находящимся на территории ЕС, либо отслеживает их поведение на территории ЕС (ст. 3(2) GDPR).

Как Контролер обеспечивает безопасность персональных данных

Контролер внедряет надлежащие правовые, организационные и технические меры для защиты персональных данных от несанкционированной или незаконной обработки, а также от случайной утраты, изменения, раскрытия, уничтожения или повреждения, в соответствии с Законом о защите персональных данных Республики Сербия (Zakon o zaštiti podataka o ličnosti, «Sl. glasnik RS», br. 87/2018).

Ключевые меры безопасности могут включать:

• ограничение доступа к персональным данным только лицами, которым такой доступ необходим;

• использование безопасных механизмов аутентификации, включая двухфакторную аутентификацию, где это доступно;

• использование безопасных каналов связи, надежных паролей и средств контроля доступа;

• выбор поставщиков услуг (Lava.top, GetCourse, Google, Meta и др.), обеспечивающих надлежащий уровень защиты информации;

• регулярный пересмотр доступа к Telegram-чатам/каналам, облачным базам данных, платежным платформам и иным системам;

• заключение договоров об обработке данных с обработчиками, где это требуется законодательством;

• принятие разумных мер для предотвращения несанкционированного доступа, утраты, уничтожения, изменения или раскрытия персональных данных.

Действия в случае нарушений персональных данных

В случае нарушения безопасности персональных данных Контролер принимает надлежащие меры, в частности:

• проводит внутреннюю оценку инцидента, включая его характер, объем, категории затронутых данных и возможные риски;

• принимает меры по локализации, снижению последствий и устранению нарушения;

• оценивает, может ли нарушение привести к риску для прав и свобод субъектов данных;

• уведомляет Поверенника без необоснованной задержки и, где это осуществимо, не позднее 72 часов после того, как Контролеру стало известно о нарушении, если только нарушение, вероятно, не приведет к риску для прав и свобод физических лиц;

• сообщает о нарушении затронутым субъектам данных без необоснованной задержки, когда нарушение способно создать высокий риск для их прав и свобод;

• документирует нарушение, включая факты, последствия и принятые меры по устранению.

В Республике Сербия компетентным надзорным органом для уведомлений о нарушениях персональных данных является Поверенник по вопросам информации общественного значения и защиты персональных данных Республики Сербия.

Что Контролер не проверяет?

Контролер исходит из того, что персональные данные, предоставленные пользователем, относятся к лицу, которое:

• обладает правоспособностью, полномочиями или иным законным основанием для предоставления таких данных;

• предоставляет точную, полную и актуальную информацию;

• действует добросовестно и в соответствии с применимым законодательством;

• не предоставляет персональные данные третьих лиц без соответствующего законного основания.

Контролер, как правило, не проверяет точность персональных данных, предоставленных пользователями, за исключением случаев, когда такая проверка необходима для предоставления Услуг, обработки платежей, соблюдения юридических обязательств, предотвращения мошенничества или защиты прав Контролера или третьих лиц.

Пользователи обязуются не использовать Ресурсы Контролера для незаконного сбора, копирования, распространения или иной обработки персональных данных третьих лиц без действительного законного основания и несут ответственность за законность и точность предоставляемых Контролеру данных.

Ваши права

В случаях, когда Контролер обрабатывает ваши персональные данные, вы имеете право осуществлять права, предусмотренные Законом о защите персональных данных Республики Сербия (Zakon o zaštiti podataka o ličnosti, «Sl. glasnik RS», br. 87/2018). Контролер, как правило, отвечает на запрос субъекта данных без необоснованной задержки и в любом случае в течение 30 дней с момента получения запроса.

Субъект данных может осуществлять свои права, связавшись с Контролером по адресу: oksana.istomina@gmail.com. Контролер может запросить дополнительную информацию, необходимую для подтверждения личности субъекта данных.

Как связаться с Контролером?

По любым вопросам, касающимся обработки персональных данных или осуществления прав субъекта данных, вы можете связаться с Контролером по следующим контактам:

Oksana Istomina PR Mentalth · ПИБ 113149648 · Dunavski kej 48, Stari grad, 11000 Beograd, Republika Srbija · e-mail: oksana.istomina@gmail.com

При обращении, пожалуйста, укажите свое имя, контактные данные для обратной связи и достаточную информацию для идентификации вашего запроса.

Субъекты данных также имеют право подать жалобу в компетентный надзорный орган – Поверенник по вопросам информации общественного значения и защиты персональных данных Республики Сербия.

Изменения в Политике

Политика может быть изменена или обновлена Контролером, в частности, в случаях:

• изменения в применимом законодательстве о защите данных Республики Сербия;

• внедрения новых технологий, продуктов, услуг или методов обработки персональных данных;

• изменения в бизнес-процессах Контролера, поставщиках услуг или механизмах обработки данных (Lava.top, GetCourse, Telegram, аналитические сервисы и др.);

• получения официальных рекомендаций или разъяснений от Поверенника;

• рассмотрения запросов, жалоб или предложений пользователей.

Контролер обязуется размещать актуальную версию Политики через официальные цифровые ресурсы и указывать дату последнего обновления. Продолжение использования услуг Контролера после публикации обновленной версии Политики означает, что пользователь был проинформирован об обновлении. В случаях, когда изменения существенно влияют на характер обработки, Контролер может запросить новое согласие, где это требуется применимым законодательством.