Приложение 5 к Публичной оферте. Описание мер защиты информации

Редакция № 1 от 03.11.2026

Документ описывает организационные и технические меры, которые Исполнитель применяет для защиты Данных Клиента и персональных данных (ст. 19 Закона о персональных данных). Описание носит общий характер и не раскрывает сведений, использование которых могло бы снизить уровень безопасности.

1. Организационные меры

1.1. Назначено лицо, ответственное за организацию обработки персональных данных (ст. 22.1 Закона). Утверждены локальные акты: политика, положение об обработке, регламенты реагирования на запросы и инциденты, порядок уничтожения.

1.2. Работники, имеющие доступ к инфраструктуре и данным, допускаются по списку, обучены и подписывают обязательства о неразглашении.

1.3. Доступ работников Исполнителя к содержимому Организации Клиента предоставляется по обращению Клиента или для устранения неисправности; такие действия протоколируются.

1.4. Проводится оценка вреда субъектам и определение уровня защищённости информационной системы персональных данных в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и требованиями ФСТЭК России к составу и содержанию мер.

1.5. Соглашения с привлечёнными лицами содержат обязанности по конфиденциальности и безопасности.

2. Управление доступом в Сервисе

2.1. Каждый Пользователь входит под персональной учётной записью; адрес электронной почты подтверждается.

2.2. Роли «Основатель», «Администратор», «Аналитик», «Просмотр» и настраиваемые роли определяют права на чтение, изменение данных, управление структурой и участниками. Доступ ограничивается по организациям и филиалам.

2.3. Принцип наименьших привилегий: права настраиваются Клиентом. Изменение состава участников доступно только основателю Организации.

2.4. Данные каждой Организации изолированы: все запросы проверяются на принадлежность Организации и права Пользователя. Запрос на объект чужой организации не раскрывает факт его существования.

2.5. Приглашение принимается только на подтверждённый адрес электронной почты.

3. Защита информации при передаче и хранении

3.1. Обмен между браузером и Сервисом осуществляется по защищённому протоколу (HTTPS/TLS). Включены защитные заголовки браузера (политика безопасности содержимого, запрет встраивания в чужие фреймы, запрет подмены типа содержимого, строгая политика транспорта).

3.2. Взаимодействие между внешним веб-слоем и внутренним программным интерфейсом защищено подписью запросов с привязкой к пользователю, времени и содержимому запроса и защитой от повторного воспроизведения.

3.3. Ключи доступа к внешним системам (МИС) хранятся в зашифрованном виде и не возвращаются в интерфейс после ввода.

3.4. Внутренние сервисы (база данных, очереди сообщений, внутренний программный интерфейс) не публикуются в сети Интернет и доступны только из защищённого контура. В боевой среде не допускается использование демонстрационных паролей и секретов.

3.5. Загружаемые файлы проверяются на тип и структуру, имеют ограничения на нагрузку на вычислительные ресурсы (лимиты на число импортов, размер записей).

4. Регистрация событий и мониторинг

4.1. Ведётся журнал действий в Организации: загрузки, изменения, удаления, восстановления, управление доступом, изменение настроек. Журнал доступен Клиенту.

4.2. Ведутся технические журналы работы серверов и приложения. Журналы не содержат паролей, ключей интеграций и содержимого финансовых записей.

4.3. Журналы хранятся в течение [●] месяцев.

5. Резервное копирование и непрерывность

5.1. Выполняется регулярное резервное копирование баз данных и загруженных файлов (Приложение 3, п. 5). Доступ к резервным копиям ограничен.

5.2. Клиент может выгрузить резервную копию данных Организации и восстановить её с проверкой файла и подтверждением замены.

6. Размещение и локализация

6.1. Хостинг-провайдер Сервиса — ООО «ТАЙМВЭБ.КЛАУД» (Timeweb Cloud), ИНН 7810945525, ОГРН 1227800052215. Серверы, базы данных и резервные копии размещены в Российской Федерации, в Москве. Базы данных, содержащие персональные данные граждан Российской Федерации, находятся на территории Российской Федерации (ч. 5 ст. 18 Закона). Юридический адрес провайдера и его официальные реквизиты указаны в перечне субобработчиков: https://finclinica.ru/legal/subprocessors.

6.2. Места обработки данных внешними поставщиками ИИ-функций описываются отдельно в Приложении 2 и перечне субобработчиков. [До публикации согласовать фактические страны обработки и условия передачи данных с Приложением 4; размещение серверов Timeweb Cloud в Москве само по себе не подтверждает отсутствие трансграничной передачи при обращении к внешним API.]

7. Управление уязвимостями

7.1. Обновление программного обеспечения и зависимостей выполняется регулярно; критические уязвимости устраняются в приоритетном порядке.

7.2. Внутренние проверки безопасности проводятся не реже [одного] раза в год, включая проверку изоляции данных между организациями, прав доступа и устойчивости к типовым атакам.

8. Инциденты

8.1. В случае инцидента с персональными данными Исполнитель действует по регламенту реагирования: локализация, расследование, уведомление Роскомнадзора в сроки, установленные ч. 3.1 ст. 21 Закона (24 часа — о произошедшем инциденте, 72 часа — о результатах внутреннего расследования), уведомление затронутых Клиентов (Приложение 4, п. 5.1).

8.2. Для сообщений об уязвимостях и инцидентах: info@amethystcapital.ru.

9. Ответственность Клиента

9.1. Безопасность на стороне Клиента (устройства Пользователей, пароли, управление доступом, увольнение сотрудников, хранение выгруженных файлов) обеспечивает Клиент.