Политика в отношении обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и определяет порядок обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных в ООО «ПВБ».

Политика применяется к обработке персональных данных, которую Оператор осуществляет в связи с функционированием сайта docum.su (далее — Сайт), включая обработку данных, полученных через формы обратной связи Сайта.

Политика действует в отношении всех персональных данных, которые Оператор получает от посетителей Сайта, и распространяется на обработку персональных данных, совершаемую как с использованием средств автоматизации, так и без их использования.

Действующая редакция Политики размещается в свободном доступе по постоянной ссылке https://docum.su/policy.html и доступна с любой страницы Сайта.

Основные понятия используются в значениях, определённых статьёй 3 Закона № 152-ФЗ. Для целей Политики:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Субъект — физическое лицо, к которому относятся обрабатываемые персональные данные.
• Заявка — обращение, направленное субъектом через форму на Сайте.

Оператор обрабатывает персональные данные на основании:

• Конституции Российской Федерации;
• Гражданского кодекса Российской Федерации;
• Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» — в части направления рекламных и информационных сообщений;
• устава Оператора, договоров, заключаемых Оператором с субъектами и контрагентами, и локальных нормативных актов Оператора.

Правовыми основаниями обработки конкретных персональных данных являются:

• согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6 Закона № 152-ФЗ), даваемое при направлении Заявки через форму Сайта;
• необходимость исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных (пункт 5 части 1 статьи 6 Закона № 152-ФЗ);
• отдельное согласие субъекта на получение рекламных и информационных сообщений — в случаях, когда такие сообщения направляются (часть 1 статьи 18 Федерального закона «О рекламе»).

Согласие на обработку персональных данных оформляется отдельно от иных документов и волеизъявлений субъекта и не объединяется с принятием иных условий. Согласие даётся путём совершения субъектом самостоятельного активного действия (проставление отметки в отдельном поле формы, не отмеченном по умолчанию).

Оператор обрабатывает персональные данные следующих категорий субъектов:

• посетители Сайта, направившие Заявку через форму на Сайте;
• представители юридических лиц и индивидуальных предпринимателей, обратившиеся к Оператору в связи с рассмотрением возможности пилотного внедрения или приобретения продукта ДокУм.

Оператор не обрабатывает:

• специальные категории персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни);
• биометрические персональные данные;
• персональные данные несовершеннолетних. Сайт и продукт ДокУм предназначены для лиц, достигших возраста 18 лет, действующих в профессиональном качестве.

Оператор руководствуется принципом минимизации: обрабатываются только те персональные данные, которые отвечают заявленным в разделе 4 целям, и в объёме, не избыточном по отношению к этим целям.

Оператор не проверяет достоверность предоставленных субъектом персональных данных и не проверяет наличие у субъекта полномочий действовать от имени организации, наименование которой он указывает. Оператор исходит из того, что субъект предоставляет достоверные данные и поддерживает их в актуальном состоянии.

Обработка персональных данных в целях, не совместимых с перечисленными в пункте 4.1, не осуществляется. Обработка в цели, указанной в строке 6 таблицы, осуществляется только при наличии отдельно выраженного согласия и прекращается по первому требованию субъекта.

Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (статья 16 Закона № 152-ФЗ).

Оператор не осуществляет обработку персональных данных в целях профилирования, оценки поведения субъекта или таргетирования рекламы на основании данных, собранных на Сайте.

Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации и без использования таких средств, с передачей и без передачи по информационно-телекоммуникационным сетям.

Оператор совершает следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ) в случаях, предусмотренных разделом 6 Политики, блокирование, удаление и уничтожение.

Сбор персональных данных осуществляется:

• непосредственно от субъекта при заполнении и отправке им формы на Сайте;
• в ходе последующей переписки и переговоров с субъектом по каналам связи, которые субъект указал в Заявке.

Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ).

Доступ к персональным данным предоставляется исключительно работникам и привлечённым лицам Оператора, которым такой доступ необходим для выполнения трудовых или договорных обязанностей, в объёме, минимально необходимом для достижения целей обработки. Все лица, допущенные к обработке, предупреждены о конфиденциальности персональных данных и об ответственности за её нарушение.

Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом.

Оператор не осуществляет распространение персональных данных неограниченному кругу лиц и не получает согласий на распространение персональных данных в порядке статьи 10.1 Закона № 152-ФЗ.

Оператор не передаёт персональные данные третьим лицам, за исключением случаев, прямо предусмотренных настоящим разделом и законодательством Российской Федерации.

Ответственность перед субъектом за действия привлечённых лиц несёт Оператор. Привлечённое лицо несёт ответственность перед Оператором.

Персональные данные могут быть предоставлены органам государственной власти, суду, органам дознания и следствия, иным уполномоченным органам — по мотивированному запросу, в объёме и порядке, установленных законодательством Российской Федерации.

Оператор не продаёт персональные данные, не передаёт их в рекламные сети и не использует для формирования сторонних рекламных аудиторий.

Трансграничная передача персональных данных. Оператор не осуществляет трансграничную передачу персональных данных.

Обработка персональных данных осуществляется до достижения целей обработки либо до утраты необходимости в их достижении, если иной срок не установлен договором или законодательством Российской Федерации.

Обработка персональных данных прекращается в случаях:

• достижения целей обработки или утраты необходимости в их достижении;
• отзыва субъектом согласия на обработку персональных данных, если Оператор не вправе продолжать обработку по иному правовому основанию;
• выявления неправомерной обработки персональных данных, если устранить нарушение невозможно;
• ликвидации Оператора.

При отзыве согласия обработка прекращается, а персональные данные уничтожаются в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, если сохранение данных не требуется для исполнения договора, стороной которого является субъект, либо по иному основанию, предусмотренному Законом № 152-ФЗ (часть 5 статьи 21 Закона № 152-ФЗ). Факт уничтожения персональных данных подтверждается актом об уничтожении и выгрузкой из журнала регистрации событий информационной системы в порядке, установленном нормативными правовыми актами уполномоченного органа.

При невозможности уничтожения персональных данных в установленный срок Оператор осуществляет их блокирование и обеспечивает уничтожение в срок не более 6 (шести) месяцев.

Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий (статьи 18.1 и 19 Закона № 152-ФЗ).

Организационные и правовые меры:

• назначение лица, ответственного за организацию обработки персональных данных;
• издание Политики и локальных актов по вопросам обработки и защиты персональных данных, включая документ, определяющий перечень мер, направленных на обеспечение выполнения обязанностей оператора;
• ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства о персональных данных и локальными актами Оператора;
• определение перечня лиц, доступ которых к персональным данным необходим для выполнения их обязанностей, и разграничение прав доступа;
• осуществление внутреннего контроля соответствия обработки персональных данных требованиям Закона № 152-ФЗ;
• оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ;
• учёт машинных носителей персональных данных;
• регистрация и учёт обращений субъектов персональных данных.

Технические меры:

• применение защищённого протокола передачи данных (HTTPS/TLS) при передаче данных между браузером субъекта и Сайтом;
• разграничение прав доступа к информационным системам, использование индивидуальных учётных записей и многофакторной аутентификации там, где это технически возможно;
• регулярное резервное копирование данных;
• использование средств антивирусной защиты и межсетевого экранирования;
• регистрация действий пользователей информационных систем;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по восстановлению данных.

В случае установления факта неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных о таком инциденте в течение 24 часов с момента его выявления и о результатах внутреннего расследования — в течение 72 часов (часть 3.1 статьи 21 Закона № 152-ФЗ).

Сайт не использует файлы cookie для целей веб-аналитики, таргетирования рекламы, построения профилей посетителей и передачи данных рекламным и аналитическим платформам.

Сайт может использовать технически необходимые файлы cookie и аналогичные технологии, без которых невозможно корректное отображение и функционирование страницы (например, сохранение сессии при отправке формы). Такие файлы не используются для идентификации личности и не передаются третьим лицам.

Служебные журналы веб-сервера фиксируют технические данные, указанные в пункте 3.2 Политики. Эти данные используются для обеспечения работоспособности и безопасности Сайта и не сопоставляются с иными персональными данными в целях идентификации субъекта.

Субъект вправе самостоятельно ограничить или запретить использование файлов cookie в настройках своего браузера. Отключение технически необходимых файлов cookie может повлиять на корректность работы формы Заявки.

Субъект персональных данных имеет право:

• получать подтверждение факта обработки персональных данных Оператором и сведения, предусмотренные частью 7 статьи 14 Закона № 152-ФЗ, в том числе о правовых основаниях и целях обработки, способах обработки, сроках обработки и хранения, лицах, которым могут быть переданы данные;
• получать доступ к своим персональным данным;
• требовать уточнения персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• возражать против получения рекламных и информационных сообщений;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

Для реализации своих прав субъект направляет Оператору запрос:

• на адрес электронной почты rafaelmardanoff@yandex.ru;
• либо в письменной форме на почтовый адрес: 420061, Республика Татарстан, г. Казань, ул. Галеева, д. 8а, корп. 3, кв. 75.

Запрос должен содержать сведения, предусмотренные частью 3 статьи 14 Закона № 152-ФЗ: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата обращения, иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором; подпись субъекта или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью в соответствии с законодательством Российской Федерации.

Оператор рассматривает запрос и направляет ответ в течение 10 (десяти) рабочих дней с даты получения запроса. Указанный срок может быть продлён, но не более чем на 5 (пять) рабочих дней, с направлением субъекту мотивированного уведомления о продлении.

Отзыв согласия на обработку персональных данных направляется в свободной форме по контактам, указанным в пункте 10.2, с указанием сведений, позволяющих идентифицировать субъекта и обрабатываемые в отношении него данные. Последствия отзыва согласия определены пунктом 7.4 Политики.

Оператор вправе отказать в выполнении требований субъекта в случаях, предусмотренных частью 8 статьи 14 Закона № 152-ФЗ, направив мотивированный ответ в срок, указанный в пункте 10.4.

Оператор обязан:

• обрабатывать персональные данные в соответствии с принципами и условиями, установленными Законом № 152-ФЗ;
• предоставлять субъекту по его запросу информацию, касающуюся обработки его персональных данных;
• принимать меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ;
• по требованию субъекта или уполномоченного органа уточнять, блокировать или уничтожать персональные данные в установленные законом сроки;
• прекращать обработку и уничтожать персональные данные в случаях, предусмотренных Законом № 152-ФЗ;
• уведомлять уполномоченный орган об обработке персональных данных и об изменении сведений, содержащихся в уведомлении, а также об инцидентах в области персональных данных.

Лица, виновные в нарушении требований законодательства Российской Федерации в области персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации, включая административную ответственность по статье 13.11 Кодекса Российской Федерации об административных правонарушениях и уголовную ответственность по статье 272.1 Уголовного кодекса Российской Федерации.

Оператор не несёт ответственности за сведения, размещённые субъектом в общедоступных источниках, а также за действия третьих лиц, получивших доступ к устройствам или учётным записям субъекта не по вине Оператора.

Оператор вправе вносить изменения в Политику. Актуальная редакция с указанием даты вступления в силу размещается по адресу https://docum.su/policy.html.

Существенные изменения, затрагивающие цели обработки или состав обрабатываемых данных, доводятся до сведения субъектов путём размещения уведомления на Сайте не менее чем за 10 (десять) дней до вступления изменений в силу, если иной порядок не предусмотрен законодательством.

Использование Сайта и направление Заявки после вступления изменений в силу означает ознакомление субъекта с действующей редакцией Политики. Согласие на обработку персональных данных в изменённом объёме или в новых целях запрашивается у субъекта отдельно.