LemonPie – как оператор персональных данных

Мы являемся оператором персональных данных, собираем, обрабатываем и храним данные: 

• сотрудников – при трудоустройстве они подписывают согласия на обработку данных;
• партнеров и контрагентов – физических лиц, оказывающих нам разовые или регулярные услуги (согласие оформляется при подписании договора)
• наших клиентов – обработка данных происходит на основании публичной оферты (или отдельного договора) и политики конфиденциальности.

LemonPie – как обработчик персональных данных

Наш сервис – это программное обеспечение, доступное на сайте https://lemonpie.tech/. Поэтому тут речь идет о тех данных, которые загружают в сервис пользователи.
Сотрудники ЛемонПай не имеют доступа к вашим данным, мы не используем их для собственных целей, и поэтому не выступаем в качестве оператора.
При этом наша обязанность – обеспечить безопасность сервиса и защиту данных, для этого мы проводим регулярные аудиты безопасности, пользуемся шифрованием данных и каналов связи, лицензированными программами и антивирусной защитой.
Хранятся данные на серверах Yandex Cloud (вот тут написано про меры безопасности, которые обеспечивает Yandex Cloud).
Другими словами, техническая защита инфраструктуры – наша ответственность, контроль физического доступа к данным – ваша. 
Если мы ведем для вас финансовый учет (для чего вы предоставляете доступ в свой аккаунт ЛемонПай), то обработка данных осуществляется исключительно по вашему поручению. Мы обеспечиваем полную конфиденциальность получаемой информации и используем ее только для предоставления услуг.


Не могу понять, нужно ли моей НКО быть в реестре операторов персональных данных Роскомнадзора?

Если вы работаете в ЛемонПай или используете CRM-системы, то должны подать уведомление о намерении осуществлять обработку персональных данных.
Это связано с тем, что единственным исключением для включения в реестр операторов является обработка данных без использования средств автоматизации – когда вы всё делаете на бумаге или в табличке Excel своими руками.
В уведомлении нужно описать все цели и способы использования персональных данных – как ведение бухгалтерского, кадрового, так и управленческого учета.

Например, это может выглядеть так:
Цель: ведение финансового и управленческого учета, в том числе подготовка отчетов, анализ и учет финансов.
Данные: фамилия, имя, отчество, ИНН, банковские реквизиты, а также иные данные, указанные в платежных документах, кроме специальных категорий персональных данных и биометрических персональных данных.
Категории субъектов: контрагенты, благополучатели, жертвователи – физические лица, физические лица – представители контрагентов, жертвователей, благополучателей.
Способ обработки: с использованием и без использования средств автоматизации.
С 30 мая сильно возрастут штрафы за неуведомление Роскомнадзора, поэтому этот вопрос лучше не откладывать. 


А точно ли то, что мы храним в LemonPie, является персональными данными?

Совсем необязательно. 
Но если вы загружаете выписки с ФИО жертвователей, благополучателей, или вносите информацию о своих сотрудниках – все это уже считается передачей персональных данных.
Поэтому мы очень надеемся, что прежде чем это делать, вы проверили и убедились в наличии оснований для передачи данных.

Самый простой и надежный способ – получить прямое согласие лица при заключении договора.

Например, в него можно включить следующее условие: «В целях ведения управленческого учета, в том числе подготовки отчетов, анализа и учета финансов Фонд имеет право передавать необходимые персональные данные (фамилия, имя, отчества, ИНН, банковские реквизиты, а также иные данные, указанные в платежных документах) третьему лицу – ООО «ЛемонПай» (ОГРН 1247700360490, 125008, г. Москва, вн.тер.г. Муниципальный Округ Коптево, проезд 1-й Новомихалковский, д. 14, кв. 79).


Нужно ли отдельно указывать в согласии LemonPie? Мы же сначала все эти данные
внесли в 1С или в банк?

Всё зависит от того, сможете ли вы обосновать возможность обработки данных таким способом без согласия человека.
С банком это сделать проще всего – согласие не требуется, если передача данных осуществляется для исполнения договора, в частности, проведения платежа. Это выступает самостоятельным основанием для обработки данных и не требует дополнительного согласия.
Еще один из случаев – если данные обрабатываются для осуществления прав и законных интересов оператора или выполнения возложенных на него законом обязанностей. Например – для проведения аудита: вы предоставляете доступ аудиторской организации к документам, содержащим персональные данные, полагаясь на законный интерес и соблюдая требования по его обязательному проведению.
В этом смысле осуществление управленческого отчета можно попробовать обосновать обязательствами по подготовке отчетности для жертвователей, контролем за учетом финансов. Но все же обязанность вести такой учет отсутствует в законе, поэтому лучше закрепить решение о ведении управленческого учета внутренними документами (например, приказом руководителя или протоколом высшего органа). Это покажет, что учёт ведётся в рамках законных интересов организации, а не произвольно.

Наши документы:

Наша оферта: ПУБЛИЧНАЯ ОФЕРТА
Политика конфиденциальности: Политика конфиденциальности

Другие полезные материалы про персональные данные:

«Операторы персональных данных. Ответы на главные вопросы» канал «Юридический минимум» Константина Воробьева
БАЛ.Рекомендации по ПД для сайта от Бюро Анны Ладошкиной
Видео-инструкция как заполнить уведомление в Роскомнадзор от Игоря Пятницы
Небольшой комментарий «Как обрабатываются перс. данные в CRM?» канал «Без сахара»