УТВЕРЖДЕНА
приказом наименование оператора
от «__» ________ 20__ г. № ___
ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
наименование оператора
1. Общие положения
1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет цели, условия и порядок обработки персональных данных и меры по их защите, которые применяет наименование оператора (ОГРН ОГРН, ИНН ИНН, адрес: адрес) (далее — Оператор).
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и применяется ко всем персональным данным, которые обрабатывает Оператор, в том числе полученным через сайт адрес сайта (далее — Сайт).
1.3. Термины в Политике используются в значениях, установленных статьёй 3 Закона. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
1.4. Политика опубликована на Сайте и находится в свободном доступе (часть 2 статьи 18.1 Закона).
2. Цели обработки, субъекты и персональные данные
2.1. Оператор обрабатывает персональные данные только для целей, перечисленных в этом разделе. Для каждой цели указаны субъекты, перечень данных, правовое основание и срок хранения.
2.2. Цель — ответ на обращения и заявки, поступившие через формы Сайта, по электронной почте, телефону и в мессенджерах. Субъекты — посетители Сайта и иные лица, направившие обращение. Данные — имя, номер телефона, адрес электронной почты, текст обращения. Основание — согласие субъекта. Срок хранения — 12 месяцев после ответа на обращение.
2.3. Цель — заключение и исполнение договоров с клиентами: оформление заказов, расчёты, доставка, гарантийное обслуживание, бухгалтерский и налоговый учёт. Субъекты — клиенты и их представители. Данные — фамилия, имя, отчество; номер телефона; адрес электронной почты; адрес доставки; сведения о заказах и оплатах. Основание — договор, стороной которого является субъект, и обязанности Оператора по налоговому и бухгалтерскому законодательству (пункты 2 и 5 части 1 статьи 6 Закона). Срок хранения — 5 лет после исполнения договора.
2.4. Цель — сбор статистики посещений и улучшение работы Сайта. Субъекты — посетители Сайта. Данные — файлы cookie, IP-адрес, сведения о браузере и устройстве, просмотренные страницы, дата и время посещения, источник перехода. Основание — согласие посетителя. Для обработки используются сервисы: Яндекс Метрика. Срок — до отзыва согласия.
2.5. Оператор не обрабатывает специальные категории персональных данных — о расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни — и биометрические персональные данные.
2.6. Оператор не принимает решений, порождающих юридические последствия для субъекта, на основании исключительно автоматизированной обработки его персональных данных.
3. Условия и порядок обработки
3.1. Оператор обрабатывает персональные данные на законной и справедливой основе, только для заранее определённых целей и в объёме, который им соответствует (статья 5 Закона). Обработка ведётся с использованием средств автоматизации и без них.
3.2. Согласие на обработку персональных данных, когда оно требуется, субъект даёт свободно, своей волей и в своём интересе. Согласие оформляется отдельно от иных информации и документов, которые субъект подтверждает или подписывает (часть 1 статьи 9 Закона). Настоящая Политика согласием на обработку не является.
3.3. На Сайте согласие даётся отметкой в отдельном поле формы со ссылкой на текст согласия. Оператор не ставит такую отметку заранее.
3.4. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом (статья 7 Закона).
3.5. Оператор передаёт персональные данные или поручает их обработку следующим лицам: банкам и платёжным сервисам — для приёма оплаты; службам доставки — для передачи заказа; хостинг-провайдеру — для хранения данных Сайта. Передаётся только тот объём данных, который нужен для цели. Лицо, которому Оператор поручил обработку, обязано соблюдать конфиденциальность, принципы и правила обработки и меры защиты, предусмотренные Законом (часть 3 статьи 6 Закона).
3.6. При сборе персональных данных граждан Российской Федерации, в том числе через Сайт, их запись, систематизация, накопление, хранение, уточнение и извлечение ведутся с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона).
3.7. Оператор не осуществляет трансграничную передачу персональных данных.
3.8. Посетитель может запретить сохранение файлов cookie и удалить их в настройках браузера. После этого часть функций Сайта может работать некорректно.
3.9. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если срок не установлен федеральным законом или договором (часть 7 статьи 5 Закона). При достижении цели Оператор уничтожает данные в течение 30 дней, если иное не предусмотрено договором с субъектом или законом (часть 4 статьи 21 Закона).
3.10. Уничтожение персональных данных подтверждается актом, а при автоматизированной обработке — также выгрузкой из журнала регистрации событий по требованиям, установленным Роскомнадзором.
4. Права субъекта персональных данных
4.1. Субъект вправе получать сведения об обработке своих персональных данных: подтверждение обработки, её цели, основания и способы, сроки хранения, сведения о лицах, которым данные раскрываются, и иные сведения, перечисленные в части 7 статьи 14 Закона.
4.2. Субъект вправе требовать уточнения, блокирования или уничтожения своих персональных данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели обработки.
4.3. Субъект вправе отозвать согласие на обработку и потребовать прекратить обработку персональных данных, направив Оператору заявление на адрес электронной почты или по адресу адрес.
4.4. Субъект вправе обжаловать действия или бездействие Оператора в Роскомнадзор или в суд (статья 17 Закона).
5. Порядок ответов на запросы
5.1. Запрос субъекта или его представителя направляется на адрес электронной почты или по адресу адрес. Запрос содержит номер документа, удостоверяющего личность, дату его выдачи и выдавший орган, сведения, подтверждающие отношения с Оператором (например, номер и дату договора), и подпись. Запрос в электронной форме подписывается электронной подписью (часть 3 статьи 14 Закона).
5.2. Оператор предоставляет сведения или мотивированный отказ в течение десяти рабочих дней со дня получения запроса. Срок может быть продлён не более чем на пять рабочих дней, если Оператор направит субъекту мотивированное уведомление о причинах продления (статьи 14 и 20 Закона).
5.3. Неполные, неточные или неактуальные данные Оператор исправляет в течение семи рабочих дней со дня получения подтверждающих сведений. Незаконно полученные или ненужные для цели данные Оператор в тот же срок уничтожает (часть 3 статьи 20 Закона).
5.4. Требование прекратить обработку Оператор исполняет в течение десяти рабочих дней с возможным продлением не более чем на пять рабочих дней, кроме случаев, когда обработка допускается без согласия субъекта (часть 5.1 статьи 21 Закона).
5.5. При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в течение 30 дней с даты поступления отзыва, если их сохранение больше не требуется для целей обработки и нет иных законных оснований для обработки (часть 2 статьи 9, часть 5 статьи 21 Закона).
5.6. Выявив неправомерную обработку, Оператор прекращает её в течение трёх рабочих дней, а если обеспечить правомерность невозможно — уничтожает данные в течение десяти рабочих дней (часть 3 статьи 21 Закона). Если уничтожить данные в срок нельзя, Оператор блокирует их и уничтожает не позднее шести месяцев.
5.7. На запрос Роскомнадзора Оператор отвечает в течение десяти рабочих дней с возможным продлением не более чем на пять рабочих дней (часть 4 статьи 20 Закона).
6. Меры защиты персональных данных
6.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления и распространения (статья 19 Закона).
6.2. Лицо, ответственное за организацию обработки персональных данных, назначается приказом Оператора (статья 22.1 Закона).
6.3. Оператор определяет угрозы безопасности персональных данных, разграничивает доступ к ним паролями и правами пользователей, применяет средства защиты информации, передаёт данные с Сайта по защищённому протоколу HTTPS, делает резервные копии и хранит бумажные носители в местах, закрытых от посторонних.
6.4. Оператор знакомит работников, которые обрабатывают персональные данные, с законодательством о персональных данных и Политикой, ведёт внутренний контроль соответствия обработки Закону и оценивает вред, который может быть причинён субъектам при нарушении Закона (статья 18.1 Закона).
7. Действия при утечке персональных данных
7.1. Если установлен факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор (часть 3.1 статьи 21 Закона).
7.2. В течение 24 часов с момента выявления инцидента — о самом инциденте, его предполагаемых причинах и вреде, о принятых мерах, а также о лице, уполномоченном взаимодействовать с Роскомнадзором по инциденту.
7.3. В течение 72 часов с момента выявления инцидента — о результатах внутреннего расследования и о лицах, действия которых стали его причиной (при наличии).
7.4. Оператор взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак, в том числе информирует её о компьютерных инцидентах, повлёкших неправомерную передачу персональных данных (часть 12 статьи 19 Закона).
8. Уведомление Роскомнадзора
8.1. До начала обработки персональных данных Оператор направляет в Роскомнадзор уведомление о намерении осуществлять обработку (статья 22 Закона).
8.2. Об изменении сведений, указанных в уведомлении, Оператор сообщает в Роскомнадзор не позднее 15-го числа месяца, следующего за месяцем, в котором сведения изменились (часть 7 статьи 22 Закона).
9. Заключительные положения
9.1. Политика утверждается приказом Оператора, вступает в силу со дня утверждения и действует до замены новой редакцией.
9.2. Оператор вправе изменять Политику. Новая редакция вступает в силу со дня её размещения на Сайте, если иное не указано в ней самой.
9.3. Вопросы об обработке персональных данных направляются Оператору по адресу электронной почты адрес электронной почты.
9.4. В части, не урегулированной Политикой, применяется законодательство Российской Федерации о персональных данных.