Утверждён приказом генерального директора ООО «ВУФ ПЕТ» от 06.10.2026 № [ЗАПОЛНИТЬ: номер приказа].
1. Сведения об акте и информационной системе
- Оператор
- Общество с ограниченной ответственностью «ВУФ ПЕТ» (ООО «ВУФ ПЕТ»), ИНН 9721268410, ОГРН 1267700247627
- Адрес оператора
- 109380, г. Москва, вн.тер.г. муниципальный округ Люблино, ул. Степана Шутова, д. 8, к. 2, кв. 25
- Информационная система
- Информационная система персональных данных «WHOOF» (далее — Система)
- Назначение Системы
- Работа сервиса WHOOF: аккаунты пользователей, трекеры и данные с них, профили питомцев, геозоны, прогулки, подписки и платежи
- Дата акта
- 06.10.2026
- Уровень определил
- Мошура Марк Михайлович, генеральный директор, ответственный за организацию обработки персональных данных
- Основание
- ст. 19 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон); требования к защите персональных данных при их обработке в информационных системах персональных данных, утверждённые постановлением Правительства Российской Федерации от 01.11.2012 № 1119 (далее — Требования № 1119)
Почта домена whoof.space и система кадрового и бухгалтерского учёта в состав Системы не входят. Почту ведёт лицо, обрабатывающее данные по поручению Оператора. Уровень защищённости для системы кадрового и бухгалтерского учёта определяется отдельным актом.
2. Исходные данные
| Показатель | Значение |
|---|---|
| Категории персональных данных | Иные категории персональных данных (п. 5 Требований № 1119). Специальные категории и биометрические персональные данные не обрабатываются; данные получены не из общедоступных источников |
| Субъекты персональных данных | Пользователи сервиса WHOOF — не являются сотрудниками Оператора |
| Количество субъектов | Менее 100 000 |
| Тип актуальных угроз | Угрозы 3-го типа (раздел 3) |
3. Тип актуальных угроз
3.1. Угрозы 1-го типа связаны с недокументированными (недекларированными) возможностями в системном программном обеспечении, угрозы 2-го типа — в прикладном программном обеспечении, угрозы 3-го типа с такими возможностями не связаны (п. 6 Требований № 1119).
3.2. Тип угроз Оператор определил с учётом оценки вреда (п. 7 Требований № 1119). Угрозы 1-го и 2-го типов признаны неактуальными:
- в Системе нет специальных категорий и биометрических персональных данных, нет реквизитов банковских карт;
- прикладное программное обеспечение Системы разработано Оператором, его исходный код находится под контролем Оператора;
- системное программное обеспечение — широко распространённое и получено из официальных источников его разработчиков.
3.3. Высокая степень вреда в акте оценки вреда определена по случаю, который не связан с составом данных в Системе, — обезличиванию сведений о платежах при удалении аккаунта. На вывод о типе угроз он не влияет.
3.4. Для Системы актуальны угрозы 3-го типа.
4. Уровень защищённости
Для Системы актуальны угрозы 3-го типа, и она обрабатывает иные категории персональных данных менее чем 100 000 субъектов, не являющихся сотрудниками Оператора. По подп. «б» п. 12 Требований № 1119 необходимо обеспечить 4-й уровень защищённости персональных данных.
5. Требования для 4-го уровня защищённости
Для 4-го уровня защищённости должны выполняться требования п. 13 Требований № 1119:
| Требование | Как обеспечивается |
|---|---|
| Режим безопасности помещений, в которых размещена Система, исключающий неконтролируемое проникновение и пребывание посторонних | Серверное оборудование размещено в центре обработки данных на территории России; физический доступ в его помещения контролирует оператор центра обработки данных. Собственных серверных помещений у Оператора нет |
| Сохранность носителей персональных данных | Носители с базой данных находятся в центре обработки данных. Копирование персональных данных на съёмные носители и личные устройства запрещено Положением об обработке и защите персональных данных |
| Утверждённый руководителем перечень лиц, доступ которых к персональным данным необходим для выполнения служебных (трудовых) обязанностей | Перечень утверждён приказом генерального директора от 06.10.2026 № [ЗАПОЛНИТЬ: номер приказа] |
| Средства защиты информации, прошедшие оценку соответствия, когда они необходимы для нейтрализации актуальных угроз | Необходимость таких средств определяется по модели угроз и пересматривается при внутреннем контроле |
6. Пересмотр уровня защищённости
6.1. Уровень защищённости пересматривается до наступления изменения, если:
- число субъектов превысит 100 000 — тогда необходим 3-й уровень защищённости (подп. «д» п. 11 Требований № 1119) и назначение лица, ответственного за обеспечение безопасности персональных данных в Системе (п. 14 Требований № 1119);
- в Системе начнут обрабатываться специальные категории или биометрические персональные данные;
- изменятся устройство Системы или состав актуальных угроз.
6.2. Выполнение Требований № 1119 контролируется не реже одного раза в три года (п. 17 Требований № 1119).
7. Модель угроз: описание системы
7.1. Модель обобщённая: она называет источники и классы угроз и категории мер защиты и не содержит технических сведений об устройстве Системы.
7.2. Система — клиент-серверная: приложение пользователя для iOS, Android и браузера, серверная часть и база данных на выделенном сервере в центре обработки данных на территории России. Система подключена к сети Интернет, рассчитана на многих пользователей с разграничением прав доступа, получает данные от трекеров и обменивается данными с внешними сервисами, названными в Политике.
7.3. Защищаемая информация — персональные данные пользователей: номер телефона и сведения об аккаунте, сведения о трекере и питомце, местоположение и история перемещений питомца, геозоны, сведения о подписке и платежах без реквизитов банковских карт.
8. Источники угроз
- внешние нарушители, которые действуют через сеть Интернет и не имеют прав доступа;
- пользователи сервиса, которые действуют в пределах прав своего аккаунта или пытаются их превысить;
- лица с административным доступом к Системе — ошибочные или умышленные действия;
- работники лиц, которые обрабатывают данные по поручению Оператора;
- сбои оборудования, программного обеспечения и каналов связи.
9. Актуальные угрозы
| Класс угроз | Возможные последствия |
|---|---|
| Несанкционированный доступ к данным через сеть: использование уязвимостей и ошибок настройки программного обеспечения, перехват данных в каналах связи | Раскрытие, изменение или уничтожение персональных данных |
| Неправомерный доступ к аккаунту пользователя или к административной учётной записи: подбор, кража или раскрытие учётных данных, обман их владельца | Раскрытие местоположения и других данных, действия от чужого имени |
| Превышение пользователем прав своего аккаунта | Получение данных чужого аккаунта или трекера |
| Искажение или подмена данных, поступающих от трекеров и внешних сервисов | Недостоверные сведения в Системе |
| Ошибочные или умышленные действия лиц с административным доступом | Раскрытие, изменение или уничтожение персональных данных |
| Раскрытие данных через их копии: технические журналы, резервные копии, выгрузки | Раскрытие персональных данных, хранение дольше установленного срока |
| Раскрытие или утрата данных у лиц, обрабатывающих их по поручению Оператора | Раскрытие или утрата персональных данных |
| Вредоносное программное обеспечение | Раскрытие, изменение или уничтожение данных, нарушение работы Системы |
| Отказ в обслуживании, сбои оборудования и программного обеспечения | Недоступность сервиса, утрата персональных данных |
Неактуальными признаны угрозы, связанные с недокументированными возможностями программного обеспечения (раздел 3), и угрозы утечки по техническим каналам. Угрозы физического доступа к оборудованию нейтрализуются режимом центра обработки данных.
10. Категории мер защиты
10.1. Набор мер защиты для 4-го уровня защищённости Оператор определяет по приказу ФСТЭК России от 18.02.2013 № 21: базовый набор мер адаптируется к устройству Системы, уточняется и дополняется так, чтобы нейтрализовать актуальные угрозы.
10.2. Меры выбираются из следующих групп:
- идентификация и аутентификация субъектов доступа и объектов доступа;
- управление доступом субъектов доступа к объектам доступа;
- ограничение программной среды;
- защита машинных носителей персональных данных;
- регистрация событий безопасности;
- антивирусная защита;
- обнаружение (предотвращение) вторжений;
- контроль (анализ) защищённости персональных данных;
- обеспечение целостности информационной системы и персональных данных;
- обеспечение доступности персональных данных;
- защита среды виртуализации;
- защита технических средств;
- защита информационной системы, её средств, систем связи и передачи данных;
- выявление инцидентов и реагирование на них;
- управление конфигурацией информационной системы и системы защиты персональных данных.
10.3. Требования к защите, которые Оператор установил для себя, — раздел 7 Положения об обработке и защите персональных данных. Перечень конкретных мер и сроки их реализации определяет план мероприятий по защите персональных данных.
11. Подпись
Составил: ____________ М. М. Мошура
«___» __________ 2026 г.