Политика в отношении обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее – Политика) определяет принципы, цели, состав, правовые основания, порядок обработки, хранения, передачи, удаления и иных юридически значимых действий с персональными данными физических лиц клиентов, контрагентов, а также иных субъектов персональных данных.

1.2. Политика разработана и утверждается на основании Федерального закона № 152-ФЗ «О персональных данных» от 27.07.2006, Постановления Правительства РФ от 01.11.2012 № 1119, а также иных актов Российской Федерации.

1.3. Все подрядчики Оператора обязаны ознакомиться с настоящей Политикой, соблюдать ее положения и принимать меры по предотвращению неправомерного доступа и иных противоправных деяний в отношении персональных данных.

1.4. Оператор не осуществляет трансграничную передачу персональных данных в рамках процессов, описанных настоящей Политикой, при условии подтверждения используемых интеграций и инфраструктуры. При изменении фактических процессов Политика подлежит актуализации.

2.1. Обработка персональных данных Оператором осуществляется на основании:

• Федерального закона № 152-ФЗ «О персональных данных»;
• иных нормативных правовых актов Российской Федерации.

2.2. Основания обработки:

• Согласие субъекта персональных данных, выраженное через приложение, мессенджер, заполнение заявки, а равно в иной предусмотренной законом форме;
• Необходимость исполнения договора либо осуществление действий по заявке субъекта персональных данных.

2.3. Оператор осуществляет обработку персональных данных в следующих целях с указанием состава данных, подлежащих обработке для каждой цели:

2.4. Обработка персональных данных осуществляется исключительно по вышеуказанным целям. Для иных целей Оператор осуществляет отдельное информирование субъекта и получает согласие, если это требуется законом.

2.5. Срок обработки персональных данных составляет не более 3 лет с даты завершения оказания услуг. Досрочное прекращение обработки персональных данных Оператор осуществляет с даты получения отзыва согласия на обработку персональных данных.

3.1. В зависимости от цели обработки Оператор собирает, хранит и использует следующие сведения, в том числе полученные через сайт ЯВБИЗНЕСЕ:

• Фамилия, имя, отчество;
• Телефон;
• Электронная почта;
• Дата рождения;
• Почтовый адрес;
• Способы оплаты;

3.2. Оператор не обрабатывает специальные категории персональных данных, а также биометрические данные.

К данным, обрабатываемым в рамках ЯВБИЗНЕСЕ, также могут относиться идентификатор Telegram, сведения о компании и профессиональной деятельности, фотографии, участие в играх, занятые места, игровые баллы и рейтинговые показатели. Для открытой публикации используются только категории, прямо разрешенные субъектом отдельным согласием.

4.1. Получение персональных данных

4.1.1. Персональные данные предоставляются субъектом через:

• Сообщения через мессенджеры, сайты, иные формы взаимодействия с субъектом персональных данных.

4.1.2. До момента предоставления согласия субъект информируется о положениях настоящей Политики, целях, объеме, сроках и способах обработки, а также о формах согласия.

4.2. Хранение и учёт персональных данных

4.2.1. Хранение персональных данных осуществляется исключительно в российских дата-центрах:

• АО «ТИЛЬДА ПАБЛИШИНГ», ИНН 9707041449, ОГРН 1247700830354; юридический адрес: 107031, г. Москва, ул. Петровские Линии, д. 2, помещ. 4/1 — платформа размещения сайта и обработки отправляемых через формы данных;
• ООО «БИТРИКС24», ИНН 3906407802, ОГРН 1213900013480; юридический адрес: Калининградская область, г. Калининград, ул. Гостиная, д. 3, этаж 5, кабинет 501 — указано по запросу Оператора в связи с использованием CRM Битрикс24; фактическое юридическое лицо — поставщик облачной CRM и место размещения серверов требуют подтверждения по договору и настройкам сервиса.

Юридические адреса указанных организаций не являются адресами центров обработки данных. Конкретные места размещения серверов и состав лиц, которым поручена обработка данных, определяются договорами, технической документацией и настройками интеграций. Обработка заявок также может осуществляться посредством электронной почты Оператора; сведения о почтовом провайдере и фактических интеграциях подлежат проверке.

4.2.2. Доступ к персональным данным предоставляется только авторизованным сотрудникам, индивидуально через ограниченные права доступа.

4.2.3. Все действия с персональными данными (получение, изменение, удаление, блокировка) фиксируются в журналах учёта.

4.3. Исправление, удаление и уничтожение персональных данных

4.3.1. Запрос на исправление или удаление персональных данных может быть направлен субъектом оператору через электронную почту либо через чат в мессенджере.

4.3.2. Оператор в течение 10 календарных дней с даты поступления обращения идентифицирует заявителя, проверяет корректность запроса, выполняет исправление или удаление персональных данных из всех систем хранения. Действие фиксируется в журнале с указанием даты, времени, состава исправленных/удалённых данных, ответственного лица.

4.3.3. Уничтожение персональных данных осуществляется путем удаления данных из всех автоматизированных и физических носителей. Составляется акт об уничтожении персональных данных, подписывается ответственным лицом и хранится у Оператора не менее 3 лет.

4.3.4. Если персональные данные подлежат хранению в силу требований законодательства (например, в бухгалтерских целях), в отношении них вводится блокировка — доступ разрешён только для предотвращения нарушений закона до истечения установленного срока хранения.

4.3.5. По итогам рассмотрения обращения о корректировке/удалении оператор в течение 10 календарных дней уведомляет субъекта персональных данных о выполнении его требования.

5.1. Для размещения сайта и ведения заявок используются следующие сервисы. Юридические адреса поставщиков приведены отдельно от адресов фактического размещения серверов:

• АО «ТИЛЬДА ПАБЛИШИНГ», ИНН 9707041449, ОГРН 1247700830354; юридический адрес: 107031, г. Москва, ул. Петровские Линии, д. 2, помещ. 4/1 — сервис создания и размещения сайта ЯВБИЗНЕСЕ;
• ООО «БИТРИКС24», ИНН 3906407802, ОГРН 1213900013480; юридический адрес: Калининградская область, г. Калининград, ул. Гостиная, д. 3, этаж 5, кабинет 501 — указано как связанное с CRM юридическое лицо; фактический контрагент и места расположения серверов определяются действующим договором и документацией поставщика.

5.1.1. Сведения о физическом местонахождении серверов Tilda и облачной CRM Битрикс24 Оператор проверяет по актуальным документам соответствующих поставщиков. Указание юридического адреса поставщика само по себе не подтверждает локализацию базы данных в Российской Федерации.

5.2. Использование иных сервисов, дата-центры которых расположены за пределами Российской Федерации, не допускается.

5.3. Оператор ежегодно проводит проверку местоположения серверов сервисов и немедленно прекращает использование сервиса при обнаружении несоответствия указанным требованиям.

6.1. Передача персональных данных третьим лицам может осуществляться исключительно для целей, предусмотренных разделом 2, в объемах, необходимых для их достижения, с учетом ограничения по местонахождению соответствующих систем на территории РФ.

6.2. К числу третьих лиц относятся строго определенный круг субъектов, имеющих на законном основании или на основании гражданско-правового, агентского и иных официальных договоров с Оператором право на обработку персональных данных: лица, оказывающие консультационные услуги, осуществляющие бухгалтерское или техническое обслуживание, обслуживающие информационные системы, а также лица, чье участие необходимо для исполнения заключенных с субъектом договоров и прямых предписаний закона.

6.3. Алгоритм допуска третьих лиц:

1. До допуска третьего лица к персональным данным заключается договор/обязательство о неразглашении и о мерах по обеспечению конфиденциальности, в том числе в отношении уничтожения и блокирования персональных данных;
2. Доступ третьего лица осуществляется исключительно через индивидуального пользователя (аккаунт) с минимально необходимыми правами доступа;
3. Действия лица фиксируются в журнале учета доступа;
4. Проводится регулярный аудит допусков и действий;
5. Любая передача по требованию госорганов осуществляется с оформлением копии запроса и отметкой в журнале учета.

6.4. Передача или допуск третьих лиц осуществляется по письменному распоряжению Оператора, ведется контроль допусков, в случае необходимости доступ ограничивается незамедлительно.

6.5. Передача персональных данных третьим лицам допускается только в том случае, если это не приведет к нарушению прав и свобод субъектов персональных данных.

7.1. Оператор реализует комплекс правовых, организационных и технических мер защиты персональных данных:

• Назначение ответственного за организацию обработки персональных данных (приказом либо доверенностью);
• Использование уникальных логинов и паролей, регулярную их смену;
• Двухфакторная аутентификация, где это разрешено технически;
• Строгое ограничение числа лиц, имеющих доступ к персональным данным, разграничение прав доступа;
• Контроль введения/вывода/копирования информации;
• Обновление программного обеспечения, регулярный аудит журналов доступа и событий;
• Фиксация всех действий с персональными данными.

7.2. В случае обнаружения утечки (несанкционированного доступа) Оператор:

• Немедленно ограничивает или прекращает доступ к базам данных и системам, где оказались затронуты персональные данные;
• В течение 24 часов с момента обнаружения инцидента проводит анализ и внутреннее расследование;
• В течение 24 часов информирует уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор), сообщает обстоятельства, предполагаемую причину, объем и принятые меры (ст. 19.1 ФЗ № 152-ФЗ);
• Осуществляет информирование субъектов персональных данных, чьи данные были затронуты;
• Регистрирует инцидент, причины, объем утечки, описание принятых мер в журнале безопасности;
• Разрабатывает и внедряет меры по устранению последствий, предотвращению новых случаев, обеспечивает внесение изменений в регламенты безопасности;
• Документирование сохраняется не менее 3 лет.

7.3. Ответственный за обработку ПД ведет журнал инцидентов, контролирует своевременность и полноту устранения их последствий.

8.1. Для достижения целей обработки персональных данных и повышения качества предоставляемых услуг на сайте используются файлы cookie и иные информационные технологии, соответствующие требованиям законодательства о персональных данных.

8.2. На сайте могут использоваться необходимые системные cookie платформы Tilda. Наличие Яндекс Метрики, VK-виджетов, рекламных пикселей и иных аналитических инструментов подлежит проверке в настройках опубликованного сайта; при их подключении Политика актуализируется с указанием применяемых инструментов и целей обработки.

• Необходимые системные cookie, обеспечивающие техническую работоспособность сайта;
• Иные cookie и инструменты аналитики — только при фактическом подключении и соблюдении применимых требований законодательства.

8.3. При первом посещении сайта пользователя информируют об использовании cookie. Продолжая пользоваться сайтом, пользователь выражает свое согласие на использование файлов cookie для целей, указанных в настоящей Политике.

8.4. Пользователь вправе ограничить или отключить cookie в настройках своего браузера — при этом корректность работы сайта может быть частично ограничена.

8.5. Информация, получаемая посредством cookie и средств аналитики, не передается третьим лицам, за исключением случаев, прямо предусмотренных законодательством РФ и условиями настоящей Политики.

8.6. Использование любых иных аналитических, рекламных и сервисных инструментов не допускается, если их серверы физически размещены вне территории Российской Федерации.

8.7. Оператор предпринимает меры по контролю и предотвращению загрузки и обращения к сторонним ресурсам, способным обработать персональные данные пользователей за пределами Российской Федерации.

9.1. Персональные данные хранятся сроком не более трех лет с момента последнего взаимодействия с Оператором, если иной срок не установлен законодательством Российской Федерации.

9.2. По истечении срока хранения либо по письменному заявлению субъекта персональные данные подлежат немедленному уничтожению, а если невозможно — блокируются (переводятся в неактивный, недоступный другим лицам статус).

9.3. Уничтожение осуществляется следующими способами:

• Удаление программными средствами операционных систем или через интерфейс используемых информационных систем с невозможностью дальнейшего восстановления по обычным средствам;
• Составление акта об уничтожении персональных данных с указанием перечня уничтоженных данных, даты, способа уничтожения, сведений о лицах, осуществивших уничтожение, подписей ответственных лиц;

9.4. В случае, если данные должны быть сохранены по закону (например, для целей бухгалтерского учета и налоговой отчетности), в течение установленного срока они блокируются — не используются и не передаются третьим лицам, за исключением случаев, предусмотренных законом.

9.5. О выполнении требования субъекта о блокировке, удалении либо уничтожении его персональных данных Оператор уведомляет субъекта в срок, не превышающий 10 календарных дней с момента обращения.

10.1. Субъект персональных данных имеет право:

• Получать информацию об обработке (включая подтверждение факта обработки, перечень и источники собираемых данных, цели обработки, сроки хранения, перечень лиц, имеющих доступ к данным);
• Требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, недостоверными, либо используются с нарушением требований законодательства;
• Отзывать согласие на обработку персональных данных;
• Обжаловать действия (бездействие) Оператора в Роскомнадзор либо суд;
• Реализовывать иные права, предусмотренные действующим законодательством РФ.

10.2. Оператор обязан предоставить запрошенную субъектом информацию либо мотивированный отказ в срок не более 10 календарных дней с даты поступления обращения.

10.3. Обращения субъектов принимаются через сайт, мессенджер или электронную почту. Ответ направляется в той же форме, в какой поступило обращение.

10.4. Оператор своевременно информирует субъектов персональных данных о любых существенных изменениях содержания настоящей Политики путём размещения информации на сайте или приложении, либо рассылкой на контактные данные субъектов, если данные таковые имеются.

Особые условия публикации рейтинга

при отзыве согласия на распространение персональных данных Оператор прекращает их дальнейшее распространение и принимает предусмотренные законом меры к удалению сведений с подконтрольных ему страниц сайта. Данные, необходимые для исполнения договора или обязанностей по закону, могут продолжать обрабатываться при наличии самостоятельного правового основания.