Политика конфиденциальности

1. Общие положения

Настоящая политика описывает, как обрабатываются персональные данные пользователей сервиса EraTrack — тайм-трекера с расчётом рентабельности проектов (далее — Сервис): веб-приложения по адресу app.eratrack.eradev.tech и сайта eratrack.eradev.tech.

Политика составлена в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и является общедоступным документом, определяющим политику оператора в отношении обработки персональных данных (ч. 2 ст. 18.1 Закона).

Оператор — Era Developers Studio (далее — Оператор). Обращения по вопросам персональных данных принимаются через электронную почту support@eratrack.net или Telegram t.me/eratrack.

Используя Сервис, пользователь подтверждает, что ознакомился с политикой. Если пользователь не согласен с ней, он должен прекратить использование Сервиса.

2. Какие данные обрабатываются

Сайт eratrack.eradev.tech не содержит форм, не собирает данные посетителей, не использует системы аналитики и не устанавливает cookie.

В веб-приложении обрабатываются следующие данные.

Учётная запись:

• адрес электронной почты;
• имя;
• пароль — хранится только в виде необратимого хеша, сам пароль Сервис не хранит;
• настройки: язык интерфейса, тема оформления, часовой пояс;
• секрет двухфакторной аутентификации — если пользователь её включил.

Сессии входа:

• IP-адрес;
• сведения о браузере и устройстве (заголовок User-Agent);
• время входа, последнего использования и окончания сессии.

Данные о работе внутри организации:

• роль и статус участника в организации, участие в группах и проектах;
• записи рабочего времени: начало, окончание, описание задачи, признаки «оплачиваемое» и «приватно»;
• плановая загрузка, таймшиты и их статус, причина возврата таймшита;
• ставки: себестоимость часа участника и цена часа для клиента;
• адреса электронной почты приглашённых в организацию;
• журнал действий в организации (аудит-лог): кто, когда и какое изменение внёс.

Сведения о клиентах организации (названия, реквизиты, условия проектов) вносят сами пользователи. Если среди них есть персональные данные третьих лиц, пользователь, который их вносит, отвечает за наличие законного основания для их передачи в Сервис.

Платёжные данные: при оплате платного плана данные банковской карты вводятся на стороне платёжной системы, которая обрабатывает их по стандарту безопасности PCI DSS. Оператору они не передаются. Оператор получает от платёжной системы только сведения о платеже: сумму, валюту, дату, статус и идентификатор операции.

3. Цели обработки

• регистрация, вход и работа учётной записи;
• предоставление функций Сервиса: учёт времени, планирование загрузки, утверждение таймшитов, расчёт рентабельности, отчёты;
• защита учётной записи: двухфакторная аутентификация, список активных сессий с возможностью их завершить;
• отправка приглашений в организацию и служебных писем, связанных с работой Сервиса;
• разграничение доступа по ролям внутри организации и учёт изменений в журнале действий;
• приём оплаты платных планов и возврат платежей;
• выполнение обязанностей, возложенных на оператора законодательством.

Рекламные рассылки не отправляются, данные для профилирования и таргетированной рекламы не используются.

4. Правовые основания

• заключение и исполнение договора, стороной которого является пользователь, — использование Сервиса на условиях Пользовательского соглашения (публичной оферты), опубликованного на сайте (п. 5 ч. 1 ст. 6 Закона);
• согласие субъекта персональных данных — в случаях, когда оно требуется (п. 1 ч. 1 ст. 6 Закона);
• выполнение обязанностей, возложенных на оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6 Закона).

Данные участников, которых организация добавляет или приглашает в Сервис, организация передаёт в Сервис для ведения собственного учёта. В этой части Оператор обрабатывает данные по поручению организации (ч. 3 ст. 6 Закона), а организация отвечает перед своими участниками за наличие основания для такой обработки.

5. Cookie

Веб-приложение использует только технически необходимые cookie. Без них вход и работа в Сервисе невозможны. Cookie аналитики и рекламы не используются.

• eratrack_access и eratrack_refresh — поддержание сессии входа; недоступны для скриптов страницы (HttpOnly), cookie обновления сессии хранится до 30 дней;
• eratrack_mfa — второй шаг входа при включённой двухфакторной аутентификации, хранится несколько минут;
• eratrack_org — выбранная организация;
• eratrack_theme — выбранная тема оформления.

6. Передача данных

Персональные данные не продаются и не передаются третьим лицам для их собственных целей. Внутри организации данные видят участники в пределах своей роли: денежные сведения (ставки, выручка, себестоимость, прибыль) доступны только владельцу, администратору и бухгалтеру организации.

Для работы Сервиса данные могут обрабатываться уполномоченными лицами по поручению Оператора:

• хостинг-провайдером, на серверах которого размещён Сервис;
• провайдером отправки электронной почты — для приглашений и служебных писем.

Для пересчёта сумм между валютами Сервис получает курсы валют из внешнего источника. Персональные данные при этом не передаются.

Оплату платных планов проводит платёжная система: данные для оплаты пользователь вводит на её стороне, и она обрабатывает их по своим правилам.

Персональные данные могут быть предоставлены государственным органам по их законному запросу в порядке, установленном законодательством Российской Федерации.

7. Хранение и удаление

Данные учётной записи хранятся, пока учётная запись существует. Пользователь может удалить учётную запись в настройках аккаунта. Владелец организации, в которой есть другие активные участники, сначала передаёт владение одному из них или блокирует либо переводит в архив остальных участников.

При удалении учётной записи:

• адрес электронной почты удаляется и заменяется техническим значением, освобождая адрес для новой регистрации;
• все активные сессии завершаются;
• организации, в которых пользователь был единственным участником, закрываются;
• участие в других организациях переводится в архив: записи времени и имя в их истории остаются, поскольку это учётные данные этих организаций.

Приглашения в организацию действуют ограниченное время и после истечения срока не могут быть использованы.

8. Защита данных

• соединение с Сервисом шифруется (HTTPS);
• пароли хранятся только в виде необратимого хеша;
• доступна двухфакторная аутентификация по одноразовым кодам;
• пользователь видит активные сессии со сведениями об устройстве и может завершить любую из них;
• ключи сессии хранятся в cookie, недоступных скриптам страницы;
• доступ к данным внутри организации разграничен ролями, изменения фиксируются в журнале действий;
• приватные записи времени показываются коллегам без названия задачи и проекта.

9. Права пользователя

В соответствии с Законом пользователь вправе:

• получить сведения об обработке своих персональных данных (ст. 14 Закона);
• потребовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку, если обработка основана на согласии;
• обжаловать действия или бездействие Оператора в Федеральной службе по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в суде.

В настройках аккаунта пользователь сам меняет имя, язык, тему, часовой пояс и пароль, управляет двухфакторной аутентификацией, завершает сессии и удаляет учётную запись. Остальные запросы, включая изменение адреса электронной почты, направляются через электронную почту support@eratrack.net или Telegram t.me/eratrack. Оператор отвечает на запрос в течение 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с уведомлением о причинах (ст. 20 Закона).

10. Изменение политики

Оператор вправе изменять политику. Новая редакция действует с момента публикации на этой странице; дата редакции указана в начале документа.

11. Контакты

По любым вопросам о Сервисе:

• электронная почта: support@eratrack.net;
• Telegram: t.me/eratrack.