Дата вступления в силу: 05 августа 2025 г.

Настоящий документ устанавливает правила хранения и защиты персональных данных, которые обрабатывает Polina Haribian «Pannl Inc» (далее — «Компания», «мы») при оказании услуг на сайте https://pannlinc.com/ (далее — «Сайт»). Политика разработана в соответствии с требованиями Общего регламента ЕС по защите данных (GDPR), испанского законодательства и рекомендаций Европейской комиссии. Она описывает технические и организационные меры, сроки хранения, процедуры уничтожения и действия в случае нарушения безопасности данных.

1. Основные принципы хранения данных

1. Законность, ограничение целей и минимизация данных. Мы собираем и храним только те персональные данные, которые необходимы для конкретных и законных целей (регистрация, связь с пользователем, отправка уведомлений и обеспечение безопасности).
2. Ограничение сроков хранения. Данные хранятся не дольше, чем требуется для целей обработки. Срок хранения зависит от активности аккаунта: данные учетной записи удаляются по запросу пользователя или при удалении аккаунта; журналы безопасности (IP‑адреса, логи) хранятся до 12 месяцев; обращения через форму обратной связи — до 24 месяцев. Мы не создаём отдельные графики хранения для каждой категории, поскольку данные удаляются после прекращения необходимости.
3. Точность и актуальность. Пользователь может обновлять свои данные в личном кабинете; при обнаружении ошибок данные исправляются.
4. Целостность и конфиденциальность. Мы применяем технические и организационные меры для защиты данных от несанкционированного доступа, утраты, уничтожения или изменения.
5. Подотчетность и документация. В соответствии с рекомендациями ЕС, организации должны вести подробные записи: контактные данные, основания обработки, описание категорий субъектов, получателей, трансграничные передачи, сроки хранения и используемые меры безопасности europa.eu. Компания регулярно пересматривает и обновляет эту документацию.

2. Место хранения и ответственность

• Хранение данных. Персональные данные хранятся на серверах, расположенных в Европейском союзе. Мы используем хостинг‑провайдера с сертификацией по стандартам безопасности и резервным копированием.
• Отсутствие трансграничной передачи. Персональные данные не передаются за пределы Европейской экономической зоны. В случае необходимости такой передачи мы будем использовать предусмотренные GDPR механизмы (стандартные договорные положения, решения о достаточности).
• Контролер данных. Полный контроль над сбором и хранением данных осуществляет Компания. На текущий момент должность уполномоченного по защите данных (DPO) не назначена; обязанность по защите данных возлагается на руководство компании.
• Сотрудники и доступ. Доступ к персональным данным предоставляется только тем сотрудникам и подрядчикам, кому они необходимы для выполнения служебных обязанностей. Сотрудники подписывают соглашения о конфиденциальности и проходят обучение по защите данных. Используются строгие политики управления доступом и регулярный аудит прав доступа.

3. Технические меры защиты

1. Шифрование и безопасность соединений. Передача данных между пользователем и Сайтом осуществляется через защищенный протокол HTTPS/TLS, который обеспечивает шифрование информации в пути.
2. Хеширование паролей. Пароли пользователей хранятся в зашифрованном (хешированном и солированном) виде, исключающем возможность восстановления исходного пароля.
3. Защита серверов. Серверы находятся в защищенных дата‑центрах, используют современные системы обнаружения вторжений, межсетевые экраны, антивирусное программное обеспечение и регулярные обновления. Доступ к управлению серверами осуществляется через защищенные каналы и многофакторную аутентификацию.
4. Резервное копирование и восстановление. Регулярно выполняются резервные копии данных, которые хранятся в зашифрованном виде. Разработан план восстановления для обеспечения непрерывности услуг.
5. Псевдонимизация и минимизация. Мы стараемся использовать обезличенные или псевдонимизированные данные, когда это возможно (например, для аналитики). Таким образом, даже при утечке риск для субъектов данных минимален.
6. Защита от вредоносных программ. Регулярно сканируем серверы на наличие уязвимостей и вредоносного ПО, обновляем программное обеспечение и применяем патчи безопасности.

4. Организационные меры

1. Политики и инструкции. Мы разработали внутренние политики и инструкции по обработке, хранению и защите персональных данных, которые доступны сотрудникам и регулярно обновляются. Европейские рекомендации подчёркивают необходимость таких письменных процедур europa.eu.
2. Разграничение доступа. Используется принцип минимально необходимого доступа: каждый сотрудник имеет доступ только к тем данным, которые нужны для выполнения его задач.
3. Обучение персонала. Сотрудники проходят обучение по GDPR, безопасности данных и управлению инцидентами.
4. Политика чистого рабочего стола. Документы с персональными данными хранятся в защищённых системах, исключается хранение на незащищённых носителях.
5. Соглашения о конфиденциальности. Подрядчики и сотрудники подписывают соглашения о неразглашении, которые действуют даже после завершения сотрудничества.
6. Аудит и мониторинг. Регулярно проводится внутренний аудит соблюдения политики безопасности, в том числе проверка прав доступа, логов действий и безопасности серверов.

5. Принципы «защита данных по дизайну и по умолчанию»

GDPR требует, чтобы организации закладывали механизмы защиты данных на стадии проектирования и использовали настройки конфиденциальности по умолчаниюeuropa.eu. Мы реализуем эти принципы следующим образом:

• Privacy by design. При разработке новых функций и сервисов мы анализируем риски для конфиденциальности, внедряем минимизацию данных, шифрование, псевдонимизацию и прочие методы защиты;
• Privacy by default. Настройки наших сервисов по умолчанию максимально ограничивают видимость и распространение персональных данных;
• Оценка воздействия (DPIA). При внедрении новых способов обработки данных (например, интеграции стороннего сервиса) проводится оценка воздействия на защиту данных.

6. Порядок уничтожения данных

• Удаление по запросу пользователя. Пользователь может удалить свою учётную запись в личном кабинете или запросить удаление, отправив письмо на info@pannlinc.com. Все персональные данные, связанные с учётной записью, удаляются или обезличиваются в течение 30 дней.
• Автоматическое удаление. Если пользователь не пользуется аккаунтом более 24 месяцев или отозвал согласие на обработку данных, мы удаляем персональные данные, кроме тех, которые необходимо хранить по закону (например, бухгалтерские документы или журналы безопасности).
• Удаление резервных копий. Данные, сохранённые в резервных копиях, автоматически перезаписываются с истечением цикла резервного копирования (обычно в течение 90 дней).
• Физическое уничтожение. В случае использования физического носителя данные уничтожаются методами, исключающими восстановление.

7. Действия при нарушении безопасности (Data Breach)

1. Выявление инцидента. Мы отслеживаем события безопасности с помощью систем обнаружения вторжений и журналов. При обнаружении подозрительной активности ответственные лица немедленно оповещаются.
2. Оценка рисков. Определяется степень риска для прав и свобод субъектов данных.
3. Уведомление органов и субъектов данных. В случае серьезного нарушения, которое может привести к риску для прав и свобод пользователей, Компания обязуется уведомить орган по защите данных (Agencia Española de Protección de Datos) в течение 72 часов, а также информировать затронутых пользователей.
4. Документирование. Все инциденты фиксируются с указанием обстоятельств, последствий и принятых мер, в соответствии с принципом подотчетности.
5. Предотвращение повторов. После устранения инцидента анализируются причины, внедряются дополнительные меры безопасности и при необходимости обновляются процедуры.

8. Контроль и обновление политики

• Регулярные проверки. Эта политика периодически пересматривается для обеспечения соответствия актуальному законодательству и изменению в бизнес‑процессах.
• Обновление сотрудников. Все изменения доводятся до сведения работников и публикуются на внутреннем портале.
• Публичность. Сокращённая версия правил может быть опубликована на сайте для информирования пользователей о мерах защиты данных.

9. Контактная информация

По вопросам, связанным с хранением и защитой данных, вы можете обратиться:

• Электронная почта: info@pannlinc.com
• Почтовый адрес: Carrer Carreters 49, 03130 Santa Pola (Alicante), Испания
• Контрольный орган: Agencia Española de Protección de Datos (AEPD) — Calle de Jorge Juan 6, 28001 Madrid, Испания.

Эти правила являются частью системы управления защитой данных Pannl Inc. Нарушение правил может повлечь дисциплинарные меры и юридическую ответственность.