1.Кто мы
Настоящее уведомление предоставляет Outturn («Outturn», «мы»). По вопросам конфиденциальности и для осуществления своих прав пишите на [email protected].
Outturn, Ирландия. Реквизиты компании предоставляются по запросу на [email protected].
2.Наши две роли
Мы являемся контролёром персональных данных, которые собираем для собственных целей: посещения нашего сайта, запросы и заявки на пилот, регистрации и платёжные записи, записи о принятии наших условий, а также обеспечение безопасности нашего сервиса.
Мы являемся обработчиком персональных данных, которые клиенты загружают в своё Рабочее пространство или подключают к нему (например, учётные записи пользователей, операционные записи, транспортные документы и письма в подключённых почтовых ящиках отделов). Контролёром этих данных является организация-клиент, и к ним применяется наше Соглашение об обработке данных. Если вы сотрудник или контрагент одного из наших клиентов, направляйте запросы об этих данных в соответствующую организацию; мы поможем ей ответить.
3.Персональные данные, которые мы собираем как контролёр
| Категория | Примеры | Источник |
|---|---|---|
| Посещения сайта | IP-адрес, тип браузера, запрошенная страница и время, обрабатываемые в технических журналах сервера и сети. Посещения наших публичных страниц мы также считаем на собственном сервере, без файлов cookie, отслеживающих скриптов и третьих лиц: IP-адрес и тип браузера используются только в момент подсчёта, чтобы в течение этого дня отличить одного посетителя от другого, и не сохраняются; мы храним только дневные итоги (страницы, сайт-источник, язык, тип устройства, кампания). Мы не используем рекламные инструменты. | Ваш браузер |
| Статистика использования сервиса | По каждому Рабочему пространству за день: число входов и как часто открывался каждый раздел сервиса. Не связывается с отдельными пользователями; запись экрана и отслеживание нажатий клавиш не ведутся. | Наш сервис |
| Заявки на пилот и запросы | Название компании, рабочий e-mail, страна, сообщение, выбранный тариф, язык; содержание писем, которые вы отправляете на sales@ или [email protected] | Вы |
| Регистрация с самообслуживанием и оплата | Название компании, рабочий e-mail, страна, выбранный тариф, статус подписки и оплаты. Данные платёжных карт мы никогда не получаем. | Вы; Lemon Squeezy (только статус) |
| Бесплатный пробный период | Название компании, рабочий e-mail, страна, даты начала и окончания пробного периода | Вы |
| Принятие условий | Принятые версии документов, время и необратимый хеш вашего IP-адреса (никогда не сам IP-адрес) | Наш сервис |
| Учётная запись и безопасность | Имя, рабочий e-mail, роль, хеш пароля (сам пароль никогда не хранится), настройки двухфакторной аутентификации, время входа, события безопасности | Вы; ваш администратор; наш сервис |
| Обращения в поддержку | Ваше сообщение, контактные данные и, по желанию, снимок экрана | Вы |
Мы не запрашиваем специальные категории персональных данных и не рассылаем маркетинговые рассылки.
4.Цели и правовые основания
| Цель | Правовое основание (GDPR, ст. 6(1)) |
|---|---|
| Ответы на запросы и подготовка пилотов и предложений | (b) действия по вашему запросу до заключения договора; (f) наш законный интерес в ответе на деловые запросы |
| Создание и ведение вашей учётной записи и Рабочего пространства, служебные письма | (b) исполнение договора |
| Платёжные записи и соблюдение налоговых требований | (c) юридическая обязанность по налоговому и корпоративному праву Ирландии |
| Подтверждение принятия наших условий | (f) законный интерес в возможности доказать заключение договора |
| Безопасность, предотвращение злоупотреблений и ограничение частоты запросов | (f) законный интерес в защите сервиса и его пользователей |
| Обобщённая статистика посещений сайта и использования сервиса для улучшения сайта и помощи клиентам на пробном периоде | (f) законный интерес в обобщённом понимании того, как используются наш сайт и сервис |
| Установление или защита правовых требований | (f) законный интерес |
Если мы опираемся на законные интересы, вы можете в любой момент возразить против обработки (см. «Ваши права»).
5.Кто получает персональные данные
Мы привлекаем небольшое число поставщиков услуг, каждый из которых связан соглашением об обработке данных: Hetzner Online GmbH (хостинг в Нюрнберге, Германия), Cloudflare, Inc. (сеть, зашифрованное соединение, защита от атак и маршрутизация писем, отправленных на наши адреса) и Brevo (доставка служебных писем). Актуальный перечень приведён на странице Субобработчики.
Подписки самообслуживания продаёт Lemon Squeezy в качестве продавца (merchant of record). Lemon Squeezy получает платёжные и расчётные данные непосредственно от покупателя как самостоятельный контролёр в соответствии со своим уведомлением о конфиденциальности и передаёт нам только статус заказа и подписки.
Мы раскрываем данные органам власти только в случаях, когда этого требует закон. Мы никогда не продаём персональные данные.
6.Международная передача данных
Наши серверы, база данных и резервные копии находятся в Германии (ЕС). Cloudflare управляет глобальной сетью, а Lemon Squeezy находится в США. Если персональные данные покидают Европейскую экономическую зону, передача основывается на Рамочной программе ЕС–США о конфиденциальности данных (EU-US Data Privacy Framework), если получатель сертифицирован, либо на Стандартных договорных положениях Европейской комиссии (GDPR, ст. 45 и 46). Копию соответствующих гарантий можно запросить по адресу [email protected].
7.Сроки хранения данных
| Данные | Срок хранения |
|---|---|
| Заявки на пилот и запросы | Пока это необходимо для обработки запроса и последующего обсуждения договора; по запросу удаляются раньше |
| Учётные записи и данные Рабочего пространства | Пока существует Рабочее пространство. Подтверждённый запрос на удаление исполняется после 7-дневного периода ожидания. Неоплаченная Подписка через 7 дней переходит в режим «только чтение» и удаляется ещё через 30 дней. |
| Пробные Рабочие пространства | Переходят в режим только для чтения, если 14-дневный пробный период закончился без Подписки; через 30 дней удаляются вместе со всеми данными |
| Платёжные записи | В течение срока, требуемого налоговым и корпоративным правом Ирландии |
| Записи о принятии условий | Вместе с Рабочим пространством, к которому они относятся, либо вместе с платёжной записью регистрации |
| Сеансы входа | Не более 12 часов; завершаются после 30 минут бездействия или при выходе |
| Ссылки на скачивание выгрузки данных | 72 часа |
| Технические журналы | Короткая ротация на сервере с ограничением по объёму |
| Статистика посещений | Дневной код посетителя и случайный ключ для его создания: до конца этого дня. Дневные итоги (без персональных данных): примерно до 26 месяцев |
| Резервные копии | Зашифрованные резервные копии: ежедневные копии хранятся 30 дней, ежемесячные — 12 месяцев; ежегодные копии хранимых исходных файлов — до 10 лет. Удалённые данные исчезают из резервных копий по истечении срока хранения копий, которые их содержат. |
8.Как мы защищаем данные
- хостинг в ЕС; сервер принимает трафик только через зашифрованный туннель Cloudflare, а соединения с сайтом используют HTTPS;
- пароли хранятся только в виде хешей Argon2id; двухфакторная аутентификация доступна каждому пользователю и обязательна для чувствительных действий, например удаления Рабочего пространства;
- сеансы ограничены 12 часами с тайм-аутом бездействия 30 минут; защита от межсайтовой подделки запросов; ограничение частоты попыток входа и блокировка учётной записи;
- строгое разделение Рабочих пространств клиентов; доступ на основе ролей; журнал аудита значимых действий только с добавлением записей;
- резервные копии шифруются на стороне клиента перед сохранением и проверяются восстановлением.
9.Ваши права
Вы вправе получить доступ к своим персональным данным, потребовать их исправления или удаления, ограничения их обработки, на переносимость данных, а также возразить против обработки, основанной на законных интересах (GDPR, ст. 15–21). Пишите на [email protected]. Мы отвечаем в течение одного месяца; для сложных запросов этот срок может быть продлён ещё на два месяца, о чём мы сообщим с указанием причины.
Вы вправе подать жалобу в ирландскую Комиссию по защите данных или в надзорный орган по месту вашего проживания или работы, например в литовскую Государственную инспекцию по защите данных.
10.Никаких автоматизированных решений в отношении вас
Мы не принимаем в отношении вас решений, основанных исключительно на автоматизированной обработке, которые порождают правовые или аналогичные существенные последствия (GDPR, ст. 22). Проверки в платформе отмечают расхождения в операционных записях для проверки людьми; они не оценивают и не ранжируют отдельных сотрудников.
12.Дети
Outturn — сервис для организаций, и он не предназначен для детей.
13.Изменения настоящего уведомления
Идентификатор версии и дата вступления в силу указаны вверху страницы. О существенных изменениях мы заранее информируем владельцев учётных записей в платформе или по электронной почте до их вступления в силу.