Политика в отношении обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — ФЗ-152), а также иными нормативными правовыми актами Российской Федерации в области защиты персональных данных.

1.2. Оператором персональных данных является __________ (далее — Оператор); реквизиты Оператора приведены в конце настоящей Политики.

1.3. Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые Оператором.

1.4. Политика действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных.

1.5. Политика разработана с целью обеспечения защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну.

1.6. Настоящая Политика применяется ко всей информации, которую Оператор может получить посредством сайта __________.

2.1. В настоящей Политике используются следующие основные понятия (ст. 3 Федерального закона от 27.07.2006 № 152-ФЗ):

2.2. Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

2.3. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.4. Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных.

2.5. Субъект персональных данных — физическое лицо, которое прямо или косвенно определено или определяемо с помощью персональных данных.

2.6. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

2.7. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

2.8. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

2.9. Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

2.10. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2.11. Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

2.12. Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.13. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или иностранному юридическому лицу.

2.14. Специальные категории персональных данных — данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни (ст. 10 ФЗ-152).

2.15. Биометрические персональные данные — сведения, характеризующие физиологические и биологические особенности человека, на основании которых можно установить его личность (ст. 11 ФЗ-152).

2.16. Конфиденциальность персональных данных — обязательное для соблюдения Оператором или иным получившим доступ к персональным данным лицом требование не допускать их распространение без согласия субъекта персональных данных или наличия иного законного основания (ст. 7 ФЗ-152).

2.17. Согласие на обработку персональных данных — конкретное, информированное, сознательное и добровольное выражение субъектом персональных данных волеизъявления на обработку его персональных данных (ст. 9 ФЗ-152).

3.1. Оператор осуществляет обработку персональных данных в следующих целях:

3.2. Исполнение договора, стороной которого является субъект персональных данных;

3.3. Обработка на основании согласия субъекта персональных данных;

3.4. Статистический анализ и улучшение качества услуг;

3.5. Обработка обращений и обратной связи.

3.6. Оператор не осуществляет обработку персональных данных, несовместимую с целями их сбора.

3.7. Обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, Оператором не осуществляется.

3.8. Обработка биометрических персональных данных Оператором не осуществляется.

4.1. Оператор осуществляет обработку персональных данных исключительно при наличии хотя бы одного из оснований, предусмотренных частью 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ:

4.2. Обработка осуществляется с согласия субъекта персональных данных (п. 1 ч. 1 ст. 6 ФЗ-152);

4.3. Обработка необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом (п. 2 ч. 1 ст. 6 ФЗ-152);

4.4. Обработка необходима в связи с участием в конституционном, гражданском, административном, уголовном судопроизводстве (п. 3 ч. 1 ст. 6 ФЗ-152);

4.5. Обработка необходима для исполнения полномочий государственных и муниципальных органов (п. 4 ч. 1 ст. 6 ФЗ-152);

4.6. Обработка необходима для исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 ФЗ-152);

4.7. Обработка необходима для защиты жизни, здоровья или иных жизненно важных интересов субъекта, если получение согласия невозможно (п. 6 ч. 1 ст. 6 ФЗ-152);

4.8. Обработка необходима для осуществления прав и законных интересов Оператора или третьих лиц (п. 7 ч. 1 ст. 6 ФЗ-152);

4.9. Обработка необходима для осуществления профессиональной деятельности журналиста или научной, литературной деятельности (п. 8 ч. 1 ст. 6 ФЗ-152);

4.10. Обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с законодательством (п. 9 ч. 1 ст. 6 ФЗ-152);

4.11. Обработка общедоступных персональных данных (п. 10 ч. 1 ст. 6 ФЗ-152);

4.12. Обработка, осуществляемая в статистических или иных исследовательских целях при условии обязательного обезличивания (п. 11 ч. 1 ст. 6 ФЗ-152).

4.13. Перечень иных нормативных правовых актов, на основании которых Оператор осуществляет обработку персональных данных:

4.14. Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

4.15. Постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

4.16. Постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;

4.17. Постановление Правительства РФ от 21.03.2012 № 211 «Об утверждении перечня мер, направленных на обеспечение выполнения обязанностей, предусмотренных ФЗ-152»;

4.18. Приказ ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;

4.19. Приказ Роскомнадзора от 28.10.2022 № 180 «Об утверждении формы уведомления об обработке персональных данных»;

4.20. Трудовой кодекс Российской Федерации от 30.12.2001 № 197-ФЗ (глава 14 «Защита персональных данных работника»);

4.21. Гражданский кодекс Российской Федерации;

4.22. Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»;

4.23. Федеральный закон от 07.02.1992 № 2300-1 «О защите прав потребителей».

4.24. Ответственность за нарушение законодательства о персональных данных установлена статьёй 13.11 Кодекса Российской Федерации об административных правонарушениях, а также статьями 137 и 272 Уголовного кодекса Российской Федерации.

5.1. Оператор может обрабатывать следующие категории персональных данных:

5.2. Фамилия, имя, отчество;

5.3. Адрес электронной почты;

5.4. Номер телефона;

5.5. IP-адрес;

5.6. Данные cookie-файлов.

5.7. Категории субъектов персональных данных:

5.8. Клиенты (пользователи сайта, заказчики услуг/товаров);

5.9. Посетители сайта Оператора.

5.10. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки.

5.11. Обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям их обработки.

6.1. Оператор осуществляет __________ обработку персональных данных.

6.2. Оператор обеспечивает сохранность персональных данных и принимает все возможные меры, исключающие доступ к персональным данным неуполномоченных лиц.

6.3. Персональные данные субъекта никогда и ни при каких условиях не будут переданы третьим лицам, за исключением случаев, связанных с исполнением действующего законодательства, либо в случае, если субъектом персональных данных дано согласие Оператору на передачу данных третьему лицу для исполнения обязательств по гражданско-правовому договору.

6.4. При выявлении неточностей в персональных данных субъект может актуализировать их самостоятельно путём направления Оператору уведомления на адрес электронной почты __________ с пометкой «Актуализация персональных данных».

6.5. Срок обработки персональных данных определяется достижением целей, для которых были собраны персональные данные, если иной срок не предусмотрен договором или действующим законодательством.

6.6. Субъект может в любой момент отозвать своё согласие на обработку персональных данных, направив Оператору уведомление посредством электронной почты на адрес __________ с пометкой «Отзыв согласия на обработку персональных данных».

7.1. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

7.2. Оператор осуществляет автоматизированную обработку персональных данных с получением и/или передачей информации по информационно-телекоммуникационным сетям или без таковой.

7.3. При автоматизированной обработке Оператор применяет следующие меры защиты:

7.4. Использование средств шифрования (SSL/TLS) при передаче персональных данных по каналам связи;

7.5. Разграничение доступа к информационным системам, содержащим персональные данные;

7.6. Антивирусная защита информационных систем;

7.7. Межсетевое экранирование;

7.8. Резервное копирование данных;

7.9. Журналирование действий пользователей информационных систем.

8.1. Обработка персональных данных является неавтоматизированной, если она осуществляется без использования средств вычислительной техники.

8.2. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации путём фиксации их на отдельных материальных носителях, в специальных разделах или на полях форм (бланков).

8.3. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ.

9.1. Оператор вправе передавать персональные данные третьим лицам в следующих случаях:

9.2. Субъект персональных данных выразил своё согласие на такие действия;

9.3. Передача предусмотрена российским или иным применимым законодательством в рамках установленной законодательством процедуры;

9.4. Передача необходима для исполнения договора с субъектом персональных данных.

9.5. Персональные данные могут передаваться следующим третьим лицам: __________.

9.6. При передаче персональных данных третьим лицам Оператор заключает с ними соглашения, содержащие условие о конфиденциальности и обеспечении безопасности персональных данных.

10.1. Файлы cookie (куки) — это небольшие текстовые файлы, которые сохраняются на устройстве пользователя при посещении сайта Оператора.

10.2. Оператор использует cookie-файлы в следующих целях:

10.3. Обеспечение корректной работы сайта;

10.4. Повышение удобства использования сайта;

10.5. Сбор статистических данных о посещаемости сайта;

10.6. Персонализация контента и рекламы.

10.7. Пользователь может самостоятельно управлять cookie-файлами через настройки своего браузера.

10.8. Отключение cookie-файлов может привести к ограничению функциональности сайта.

10.9. На сайте Оператора используются следующие сервисы веб-аналитики, устанавливающие cookie-файлы: __________.

10.10. Данные сервисы собирают обезличенную статистику посещений для улучшения качества работы сайта.

11.1. Субъект персональных данных имеет следующие права (ст. 14–17 Федерального закона от 27.07.2006 № 152-ФЗ):

11.2. Право на получение информации (ст. 14 ФЗ-152) — получать от Оператора сведения, касающиеся обработки его персональных данных: подтверждение факта обработки, правовые основания, цели, способы, сроки обработки, перечень обрабатываемых данных, источник их получения, информацию о лицах, которым могут быть раскрыты данные;

11.3. Право на уточнение, блокирование или уничтожение персональных данных (ч. 1 ст. 14 ФЗ-152) — требовать уточнения персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

11.4. Право на отзыв согласия (ч. 2 ст. 9 ФЗ-152) — отозвать согласие на обработку персональных данных в любое время, направив соответствующее уведомление Оператору;

11.5. Право на обжалование действий Оператора (ст. 17 ФЗ-152) — обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных — Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке;

11.6. Право на защиту при автоматизированной обработке (ст. 16 ФЗ-152) — возражать против решения, порождающего юридические последствия и принятого на основании исключительно автоматизированной обработки;

11.7. Право на возмещение убытков и компенсацию морального вреда (ст. 17 ФЗ-152) — на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

11.8. Для реализации своих прав субъект персональных данных может направить Оператору запрос (обращение), содержащий: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата заключения договора), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором, подпись субъекта персональных данных или его представителя.

11.9. Запрос направляется на адрес электронной почты: __________ или по почтовому адресу: __________.

11.10. Оператор обязан рассмотреть обращение субъекта и предоставить сведения либо мотивированный ответ в течение 10 рабочих дней с момента его получения (ч. 3 ст. 14, ч. 1 ст. 20 ФЗ-152).

11.11. Срок может быть продлён не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления о причинах продления.

11.12. В случае отказа в предоставлении информации Оператор обязан указать основания такого отказа со ссылкой на часть 8 статьи 14 Федерального закона от 27.07.2006 № 152-ФЗ.

12.1. Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

12.2. Оператор применяет следующие меры по обеспечению безопасности персональных данных:

12.3. Назначение ответственного за организацию обработки персональных данных — __________ __________;

12.4. Утверждение локальных актов по вопросам обработки персональных данных;

12.5. Применение организационных и технических мер по обеспечению безопасности при обработке в информационных системах;

12.6. Обеспечение физической защиты помещений и оборудования, на которых размещены информационные системы;

12.7. Контроль доступа к информационным системам, содержащим персональные данные;

12.8. Использование шифрования (SSL/TLS) при передаче данных через сеть Интернет;

12.9. Обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по реагированию;

12.10. Восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;

12.11. Обучение работников Оператора, непосредственно осуществляющих обработку персональных данных.

13.1. Персональные данные подлежат уничтожению в следующих случаях:

13.2. Достижение целей обработки персональных данных или утрата необходимости в достижении этих целей;

13.3. Отзыв субъектом персональных данных согласия на обработку его персональных данных;

13.4. Выявление неправомерной обработки персональных данных;

13.5. Истечение срока хранения персональных данных.

13.6. Срок хранения персональных данных: до достижения целей обработки, но не более __________ с момента последнего взаимодействия с субъектом персональных данных, если более длительный срок хранения не установлен законодательством Российской Федерации.

13.7. Способ уничтожения персональных данных: уничтожение путём удаления из информационных систем и/или физического уничтожения материальных носителей.

13.8. Оператор осуществляет уничтожение персональных данных в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого является субъект персональных данных.

14.1. Настоящий план-график определяет периодичность и способ уничтожения персональных данных в информационных системах Оператора.

14.2. Способ уничтожения: __________.

14.3. Периодичность проверки сроков хранения и уничтожения персональных данных: __________.

14.4. Срок хранения резервных копий: __________ дней.

14.5. По истечении срока резервные копии автоматически перезаписываются или уничтожаются.

14.6. Уничтожение персональных данных подтверждается актом об уничтожении, а при обработке с использованием средств автоматизации — также выгрузкой из журнала регистрации событий в информационной системе персональных данных.

14.7. Акты и выгрузки хранятся в течение трёх лет с момента уничтожения персональных данных.

15.1. Оператор применяет следующие технические меры защиты персональных данных:

15.2. Шифрование каналов передачи данных по протоколу SSL/TLS;

15.3. Идентификация и аутентификация пользователей, разграничение прав доступа к информационным системам;

15.4. Антивирусная защита и межсетевое экранирование;

15.5. Резервное копирование и регистрация событий безопасности.

15.6. Оператор применяет следующие организационные меры:

15.7. Назначение лица, ответственного за организацию обработки персональных данных;

15.8. Утверждение локальных актов по вопросам обработки и защиты персональных данных и ознакомление с ними работников;

15.9. Определение перечня лиц, допущенных к обработке персональных данных;

15.10. Учёт машинных носителей персональных данных и внутренний контроль соответствия обработки требованиям ФЗ-152.

15.11. Размещение информационных систем: хранение и обработка персональных данных осуществляется на территории Российской Федерации.

15.12. Уровень защищённости информационной системы персональных данных (ИСПДн) Оператора определяется на основании модели угроз и характера обрабатываемых персональных данных.

15.13. Разграничение доступа: к обработке персональных данных допускаются только сотрудники, определённые приказом Оператора.

15.14. Доступ предоставляется по принципу наименьших привилегий и только в объёме, необходимом для выполнения служебных обязанностей.

16.1. В случае выявления инцидента, связанного с неправомерной или случайной передачей (предоставлением, распространением, доступом) персональных данных, Оператор действует в соответствии с общими требованиями ФЗ-152 и приказами Роскомнадзора.

16.2. Порядок реагирования:

16.3. Фиксация факта инцидента ответственным за обработку ПД в момент обнаружения;

16.4. Первичное уведомление Роскомнадзора в срок не более 24 часов с момента выявления инцидента (ч. 3.1 ст. 21 ФЗ-152);

16.5. Подробное уведомление Роскомнадзора с результатами внутреннего расследования в срок не более 72 часов;

16.6. Уведомление затронутых субъектов персональных данных;

16.7. Принятие мер по устранению причин инцидента и минимизации последствий;

16.8. Документирование инцидента и принятых мер в журнале учёта инцидентов.

16.9. Ответственным за реагирование на инциденты является __________ __________.

16.10. В случае отсутствия ответственного — руководитель Оператора.

16.11. Канал связи для уведомления об инцидентах: __________.

17.1. Оператор получает согласие субъекта на обработку его персональных данных в форме, позволяющей подтвердить факт его получения, в том числе путём проставления отметки в отдельном поле формы на сайте Оператора.

17.2. Согласие оформляется отдельно от иных документов, которые подтверждает или подписывает субъект; ознакомление с настоящей Политикой согласием на обработку не является.

17.3. Согласие должно быть конкретным, предметным, информированным, сознательным и однозначным (ч. 1 ст. 9 ФЗ-152).

17.4. В согласии указываются цели обработки, перечень ПД, на обработку которых даётся согласие, и срок действия согласия.

17.5. Субъект персональных данных вправе отозвать своё согласие путём направления письменного уведомления на адрес электронной почты __________.

17.6. Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней с даты получения отзыва согласия, если иное не предусмотрено договором, стороной которого является субъект, а также в случаях, предусмотренных пунктами 2–11 части 1 статьи 6 ФЗ-152.

17.7. Оператор обеспечивает хранение подтверждений согласия (электронных или бумажных форм) в течение всего срока обработки и не менее 3 лет после её прекращения.

18.1. Оператор несёт ответственность за нарушение требований законодательства Российской Федерации в области персональных данных в соответствии с действующим законодательством.

18.2. В случае утраты или разглашения персональных данных Оператор информирует субъекта персональных данных, а также уполномоченный орган (Роскомнадзор) в установленные законом сроки.

18.3. Оператор принимает все необходимые меры для минимизации негативных последствий, связанных с нарушением безопасности персональных данных.

19.1. Настоящая Политика является общедоступным документом и подлежит размещению на сайте Оператора __________.

19.2. Оператор имеет право вносить изменения в настоящую Политику.

19.3. При внесении изменений в актуальной редакции указывается дата последнего обновления.

19.4. Новая редакция Политики вступает в силу с момента её размещения на сайте Оператора, если иное не предусмотрено новой редакцией Политики.

19.5. К настоящей Политике и отношениям между субъектом персональных данных и Оператором применяется действующее законодательство Российской Федерации.

19.6. Все возникающие споры стороны будут стремиться решить путём переговоров.

19.7. При недостижении согласия споры подлежат рассмотрению в суде по месту нахождения Оператора в соответствии с действующим законодательством Российской Федерации.

20.1. __________

20.2. ИНН __________, ОГРН __________

20.3. Адрес: __________

20.4. Телефон: __________, e-mail: __________

20.5. Сайт: __________

20.6. Ответственный за организацию обработки персональных данных: __________ __________

20.7. Дата публикации: __________