Политика конфиденциальности и обработки персональных данных

Политика конфиденциальности и обработки ПДн Оператора (далее — Политика) разработана с учетом требований Конституции Российской Федерации, в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», и другими федеральными законами, и подзаконными актами, определяющими случаи и особенности обработки ПДн.

Настоящая Политика определяет основные цели, порядок и условия обработки ПДн Оператором, а также меры по обеспечению безопасности ПДн, с целью защиты прав и свобод человека и гражданина при обработке его ПДн, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, четкое и неукоснительное соблюдение требований законодательства Российской Федерации и международных договоров Российской Федерации в области ПДн.

Настоящая Политика является общедоступным документом и подлежит публикации на официальном сайте Оператора (других сайтах и сервисах, где ООО «Севен» является Оператором ПДн) (далее — Сайт) в информационно-телекоммуникационной сети Интернет, в том числе на страницах, с использованием которых осуществляется сбор ПДн.

Настоящая Политика также определяет правила использования ПДн Пользователя и действует в отношении всей информации, обрабатываемой без использования средств автоматизации (неавтоматизированной), обрабатываемой в ИСПДн, на Сайте Оператора, которую владельцы ИСПДн, администрация Сайта и/или посетители Сайта могут получить о Пользователе во время использования ИСПДн, Сайта, его сервисов, программ и продуктов.

Положения настоящей Политики служат основой для разработки Оператором локальных нормативных актов, детализирующих вопросы обработки и защиты ПДн.

Требования настоящей Политики распространяются на всех работников Оператора (штатных, временных, работающих по контракту и т. п.).

Права и обязанности субъектов ПДн

Права и обязанности Оператора:

Использование Сайта означает свободное, своей волей и в своих интересах согласие Пользователя с настоящей Политикой и указанными в ней условиями обработки его ПДн, в случае несогласия с этими условиями Пользователь должен воздержаться от использования Сайта.

Настоящая Политика применяется только к Сайту Оператора. Администрация Сайта не контролирует и не несет ответственности за сайты третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на Сайте.

В рамках настоящей Политики под ПДн Пользователя, обрабатываемыми на Сайте, понимаются:

• ПДн, которые Пользователь предоставляет о себе самостоятельно при регистрации (создании учетной записи) или в процессе использования сервисов. К ПДн, в частности, относятся: фамилия, имя, отчество, электронная почта, номер телефона и прочие сведения о Пользователе, которые он по своему желанию может указать в своем профиле на Сайте;
• данные, которые автоматически передаются сервисам Сайта в процессе их использования с помощью установленного на устройстве Пользователя программного обеспечения, в том числе IP-адрес, информация о браузере Пользователя (или иной программе, с помощью которой осуществляется доступ к сервисам), технические характеристики оборудования и программного обеспечения, используемых Пользователем, дата и время доступа к сервисам, адреса запрашиваемых страниц и иные данные файлов cookie, если они прямо или косвенно относятся к определенному или определяемому физическому лицу.

Использование файлов cookie.

Файл cookie — это небольшой простой файл, который отправляется вместе со страницами данного веб-сайта и сохраняется вашим браузером на жестком диске вашего компьютера или другого устройства. Информация, хранящаяся в нем, может быть возвращена на наши серверы или на серверы соответствующих третьих лиц при последующем посещении.

Скрипт — это фрагмент программного кода, который используется для обеспечения правильной и интерактивной работы нашего веб-сайта. Этот код выполняется на нашем сервере или на вашем устройстве.

Виды cookie:

• Аналитические и маркетинговые файлы cookie, которые позволяют:
  • распознавать Пользователей, подсчитывать их количество и собирать информацию, например, о произведенных операциях, посещенных страницах и просмотрах на Сайте;
  • идентифицировать ваше аппаратное или программное обеспечение, например, тип браузера или устройство (с помощью cookie device_id);
  • собирать информацию о том, как вы взаимодействуете с Сайтом, например, приобретены ли услуга или продукт;
  • обеспечивать релевантность рекламы, повышать эффективность рекламных кампаний.

При первом посещении Сайта с помощью браузера предоставляется баннер, предупреждающий Посетителя об осуществлении сбора cookie и запрашивающий согласие Посетителя на обработку его cookie.

Нажимая кнопку «Принять», Посетитель предоставляет свое согласие на обработку его cookie, а также подтверждает согласие с положениями настоящей Политики.

Посетитель может отказаться от использования cookie в настройках своего браузера в разделе «Справка» или не принимать согласие на обработку его cookie, а также выбрать предпочтения используемых видов cookie (технические, аналитические и маркетинговые, прочие), в таком случае это напрямую повлияет на аналитику использования сайта и может привести к некорректной его работе.

Настоящая Политика устанавливает обязательства Оператора по неразглашению и обеспечению режима защиты конфиденциальных данных Посетителя, которые Оператор может получить во время посещения Посетителем Сайта.

Сбор данных файлов cookie на Сайте осуществляется с помощью сервиса веб-аналитики «Яндекс.Метрика» на следующих условиях:

• сервис веб-аналитики «Яндекс.Метрика» использует cookie;
• данные об использовании Сайта Посетителем, собранные при помощи cookie, подлежат передаче в ООО «Яндекс» и хранятся на серверах ООО «Яндекс», расположенных в Российской Федерации. Яндекс обрабатывает полученную информацию для оценки использования Сайта Посетителем и составления отчетов о деятельности Сайта.

«Яндекс.Метрика» обрабатывает полученную информацию в порядке, установленном:

• Политикой использования файлов cookie, размещенной в сети «Интернет» по адресу: https://yandex.ru/legal/cookies_policy;
• условиями использования сервиса «Яндекс.Метрика», размещенными в сети «Интернет» по адресу: https://yandex.ru/legal/metrica_termsofuse;
• Политикой конфиденциальности, размещенной в сети «Интернет» по адресу: https://yandex.ru/legal/confidential.

Цели сбора данных файлов cookie Посетителя:

• cookie используются Оператором в целях улучшения работы Сайта;
• проведение статистических и маркетинговых исследований (эффективность трафика на Сайте, анализ поведенческих метрик Посетителей), на основе обезличенных данных файлов cookie.

Виды используемых метрик сервисом «Яндекс.Метрика», связанных с cookie:

• посетители (уникальный номер (client id*), возраст, пол, географию, активность на сайте, время на сайте, глубину просмотра и другие поведенческие метрики);
• типы устройств (производитель/модель, браузер/версия браузера, операционная система);
• просмотры;
• время на материал;
• рециркуляция;
• источники переходов;
• доскроллы и дочтения;
• форматы страниц.

* client id — уникальный номер/случайное число (обезличенная информация), хранящийся в cookie для идентификации Посетителя Сайта.

Срок хранения cookie в сервисе «Яндекс.Метрика» не превышает 1 года и 1 месяца.

Для реализации целей обработки, указанных в настоящей Политике, Оператор осуществляет обработку ПДн своих работников, а также лиц, не состоящих в трудовых отношениях с Оператором, в том числе:

• кандидатов на замещение вакантных должностей;
• работников Оператора, бывших работников;
• членов семьи работников Оператора;
• работников и представителей контрагентов;
• клиентов Оператора;
• участников и победителей акций, программ, конкурсов, проводимых Оператором;
• пользователей сайтов Общества, заполнивших веб-формы регистрации и (или) обращения на страницах сайтов Общества в сети Интернет;
• анонимных (незарегистрированных) посетителей сайтов Общества в сети Интернет, в отношении которых обрабатывается информация, содержащаяся в файлах cookie, в том числе сведения об их уникальных номерах, IP-адресах, информация о браузере, технические характеристики оборудования и программного обеспечения и другие сведения.

Перечень ПДн, обрабатываемых Оператором, определяется в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора с учетом целей обработки ПДн, указанных в настоящей Политике.

Оператор не имеет права получать и обрабатывать ПДн, касающиеся расовой и национальной принадлежности, политических, религиозных и философских убеждениях, интимной жизни, состоянии здоровья, за исключением случаев, предусмотренных федеральными законами.

В целях информационного обеспечения Оператор может создавать общедоступные источники (в том числе справочники и адресные книги), в которые могут включаться ПДн, сообщаемые субъектом ПДн с его письменного согласия, если иное не предусмотрено законодательством Российской Федерации. В общедоступные источники ПДн могут включаться его фамилия, имя, отчество, дата и место рождения, должность, номера контактных телефонов, адрес электронной почты, фотография и иные ПДн, сообщаемые субъектом ПДн.

Оператором могут обрабатываться биометрические ПДн субъектов ПДн при наличии письменного согласия субъектов, если иное не предусмотрено законодательством Российской Федерации. Оператор не вправе отказывать в обслуживании в случае отказа субъекта ПДн предоставить биометрические ПДн и (или) дать согласие на обработку ПДн, если в соответствии с федеральным законом получение оператором согласия на обработку ПДн не является обязательным.

Обработка ПДн осуществляется на законной и справедливой основе.

Обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями сбора ПДн.

Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместных между собой.

Обработке подлежат только те ПДн, которые отвечают целям их обработки.

Содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки.

Обрабатываемые ПДн не являются избыточными по отношению к заявленным целям обработки.

При обработке ПДн обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к заявленным целям их обработки.

Хранение ПДн осуществляется в форме, позволяющей определить субъекта ПДн не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом или договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн. Обрабатываемые ПДн подлежат уничтожению, либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение ПДн.

Обработка ПДн осуществляется следующими способами:

• неавтоматизированная обработка ПДн;
• автоматизированная обработка ПДн с передачей информации по информационно-телекоммуникационным сетям или без таковой;
• смешанная обработка ПДн.

Обработка ПДн Оператором допускается в следующих случаях:

Оператор не раскрывает третьим лицам и не распространяет ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством, договором с субъектом ПДн, не указано в полученном от него согласии на обработку ПДн.

Оператор не обрабатывает ПДн, относящиеся к специальным категориям и касающиеся расовой и национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, о членстве субъектов ПДн в общественных объединениях или их профсоюзной деятельности, за исключением сведений, относящихся к вопросу о возможности выполнения работником трудовой функции и необходимых для целей, определенных законодательством о государственной социальной помощи, трудовым законодательством, пенсионным законодательством, законодательством об обязательных видах страхования, со страховым законодательством.

Обработка ПДн о судимости может осуществляться Оператором исключительно в случаях и в порядке, установленных законодательством.

Оператор может осуществлять трансграничную передачу ПДн в государства, являющиеся стороной Конвенции Совета Европы ETS № 108 «О защите частных лиц в отношении автоматизированной обработки данных личного характера» и обеспечивающих адекватную защиту прав субъектов ПДн. В случае необходимости передачи в иные страны такая передача осуществляется в соответствии с процедурой, установленной действующим законодательством.

Трансграничная передача ПДн на территории иностранных государств может осуществляться Оператором в случаях:

• наличия согласия в письменной форме субъекта ПДн на трансграничную передачу его ПДн;
• исполнения договора, стороной которого является субъект ПДн.

Распространение ПДн осуществляется на основании согласия на обработку ПДн, разрешенных субъектом ПДн для распространения. Данное согласие оформляется отдельно от иных согласий субъекта ПДн.

Согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, может быть предоставлено Оператору:

• непосредственно;
• с использованием информационной системы Роскомнадзора.

Оператор обязан в срок не позднее трех рабочих дней с момента получения соответствующего согласия субъекта ПДн опубликовать информацию об условиях обработки и о наличии запретов и условий на обработку неограниченным кругом лиц ПДн, разрешенных субъектом ПДн для распространения.

Установленные субъектом ПДн запреты на передачу (кроме предоставления доступа), а также на обработку или условия обработки (кроме получения доступа) ПДн, разрешенных субъектом ПДн для распространения, не применяются для случаев обработки ПДн в государственных, общественных и иных публичных интересах, определенных законодательством Российской Федерации.

Передача (распространение, предоставление, доступ) ПДн, разрешенных субъектом ПДн для распространения, должна быть прекращена в любое время по требованию субъекта ПДн. Данное требование должно включать в себя фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) субъекта ПДн, а также перечень ПДн, обработка которых подлежит прекращению. Указанные в данном требовании ПДн могут обрабатываться только оператором, которому оно направлено.

В случае, если Оператор осуществляет обработку ПДн субъекта, которые он раскрыл неопределенному кругу лиц, и субъект не дал Оператору согласие на обработку ПДн, то на Оператора ложится обязанность доказывания законности последующего распространения или иной обработки таких ПДн.

Оператор не принимает решения, порождающие юридические последствия в отношении субъектов ПДн или иным образом затрагивающие их права и законные интересы, на основании исключительно автоматизированной обработки ПДн. Данные, имеющие юридические последствия или затрагивающие права и законные интересы работника, такие, как размер начисленных доходов, налогов и иных отчислений, подлежат перед их использованием ручной проверке.

Условиями прекращения обработки ПДн могут являться:

• достижение целей обработки ПДн;
• истечение срока действия согласия или отзыв согласия субъекта ПДн на обработку его ПДн;
• прекращение деятельности Оператора (ликвидация или реорганизация);
• обращение субъекта ПДн к Оператору с требованием о прекращении обработки его ПДн в соответствии с частью 5.1 статьи 21 152-ФЗ.

При обработке ПДн Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

Работниками Оператора, получившими доступ к ПДн, должна быть обеспечена конфиденциальность таких данных.

Правовые меры, принимаемые Оператором, включают:

• разработку локальных актов Оператора, реализующих требования законодательства по обеспечению безопасности ПДн;
• отказ от любых способов обработки ПДн, не соответствующих определенным в Политике целям и требованиям законодательства.

Организационные меры, принимаемые Оператором, включают:

• назначение лица, ответственного за организацию обработки ПДн;
• назначение лица, ответственного за обеспечение безопасности ПДн в ИСПДн;
• ограничение состава работников Оператора, имеющих доступ к ПДн, и организацию разрешительной системы доступа к ним;
• ознакомление работников Оператора, непосредственно осуществляющих обработку ПДн, с положениями законодательства о ПДн, в том числе с требованиями к защите ПДн, с Политикой, другими локальными актами Оператора по вопросам обработки ПДн;
• обучение всех категорий работников Оператора, непосредственно осуществляющих обработку ПДн, правилам работы с ними и обеспечения безопасности обрабатываемых данных;
• определение в должностных инструкциях работников Оператора обязанностей по обеспечению безопасности обработки ПДн и ответственности за нарушение установленного порядка;
• регламентацию процессов обработки ПДн;
• организацию учёта материальных носителей ПДн и их хранения, обеспечивающих предотвращение хищения, подмены, несанкционированного копирования и уничтожения;
• определение угроз безопасности ПДн при их обработке в информационных системах, формирование на их основе модели (моделей) актуальных угроз;
• оценку степени возможного вреда субъектам ПДн, который может быть причинен в случае нарушения требований безопасности;
• определение уровни защищенности ПДн и требований к защите ПДн при их обработке в ИСПДн;
• размещение технических средств обработки ПДн в пределах охраняемой территории;
• ограничение допуска посторонних лиц в помещения Оператора, недопущение их нахождения в помещениях, где ведется работа с ПДн и размещаются технические средства их обработки, без контроля со стороны работников Оператора.

Технические меры по защите ПДн, принимаемые Оператором, включают:

• разработку на основе модели актуальных угроз системы защиты ПДн для установленных Правительством Российской Федерации уровней защищенности ПДн при их обработке в информационных системах;
• использование для нейтрализации актуальных угроз средств защиты информации, прошедших процедуру оценки соответствия в установленном законом порядке;
• оценку эффективности принимаемых мер по обеспечению безопасности ПДн;
• реализацию разрешительной системы доступа работников к ПДн, обрабатываемым в информационных системах, и к программно-аппаратным и программным средствам защиты информации;
• регистрацию и учёт действий c ПДн пользователей информационных систем, где обрабатываются ПДн;
• ограничение программной среды;
• выявление вредоносного программного обеспечения (применение антивирусных программ) на всех узлах информационной сети Оператора, обеспечивающих соответствующую техническую возможность;
• безопасное межсетевое взаимодействие (путем применения межсетевого экранирования);
• идентификацию и проверку подлинности пользователя (аутентификацию) при входе в информационную систему;
• контроль целостности программного обеспечения, включая программное обеспечение средств защиты информации;
• обнаружение вторжений в информационную систему Оператора, нарушающих или создающих предпосылки к нарушению установленных требований по обеспечению безопасности ПДн;
• защита среды виртуализации;
• принятие мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них;
• защиту сетевых устройств и каналов связи, по которым осуществляется передача ПДн;
• восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним (создание системы резервного копирования и восстановления ПДн);
• контроль за выполнением настоящих требований (самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации) не реже 1 раза в 3 года.

Субъект ПДн принимает решение о предоставлении его ПДн и даёт согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн может быть дано субъектом ПДн или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.

Обязанность предоставить доказательство получения согласия субъекта ПДн на обработку его ПДн или доказательство наличия оснований, указанных в 152-ФЗ, возлагается на Оператора.

Оператор вправе с согласия субъекта поручить обработку ПДн другому лицу, если иное не предусмотрено законодательством, на основании заключаемого с этим лицом договора, предусматривающего в качестве обязательного условия обязанность лица, осуществляющего обработку ПДн по поручению Оператора, соблюдать принципы, правила обработки ПДн и требования к обработке, предусмотренные законодательством. Объем передаваемых другому лицу для обработки ПДн и количество используемых этим лицом способов обработки должны быть минимально необходимыми для выполнения им своих обязанностей перед Оператором.

В поручении Оператора должны быть определены перечень действий (операций) с ПДн, которые будут совершаться лицом, осуществляющим обработку ПДн, и цели обработки, перечень обрабатываемых по поручению ПДн, должна быть установлена обязанность такого лица соблюдать конфиденциальность ПДн и обеспечивать безопасность ПДн при их обработке, по запросу Оператора в течение срока действия поручения, в том числе до обработки ПДн, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения Оператора требований, установленных статьей 6 152-ФЗ, должны быть указаны требования об уведомлении Оператора о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав субъектов ПДн, а также требования к защите обрабатываемых ПДн в соответствии со статьей 19 указанного закона. При выполнении поручения Оператора на обработку ПДн лицо, которому такая обработка поручена, вправе использовать для обработки ПДн свои информационные системы, соответствующие требованиям безопасности, установленным законодательством, что отражается Оператором в заключаемом договоре поручения на обработку ПДн.

В случае, если Оператор поручает обработку ПДн другому лицу, ответственность перед субъектом ПДн за действия указанного лица несет Оператор. Лицо, осуществляющее обработку ПДн по поручению Оператора, несет ответственность перед Оператором, за исключением поручения обработки ПДн иностранному физическому лицу или иностранному юридическому лицу, которые несут ответственность перед субъектом ПДн наряду с Оператором.

Оператор вправе разместить свои ИСПДн в дата-центре (облачной вычислительной инфраструктуре). В этом случае в договор с дата-центром (провайдером облачных услуг) в качестве основного условия может включаться требование о запрете доступа персонала дата-центра к ИСПДн Оператора, размещаемых в дата-центре (облачной инфраструктуре), и тогда такое размещение не рассматривается Оператором как поручение обработки ПДн дата-центру (провайдеру облачных услуг) и не требует согласия субъектов ПДн на такое размещение.

В случае подтверждения факта неточности ПДн — ПДн подлежат уточнению Оператором, а в случае подтверждения факта неправомерности обработки ПДн, их обработка должна быть прекращена.

При достижении целей обработки ПДн, а также в случае отзыва субъектом ПДн согласия на их обработку Оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка ПДн осуществляется другим лицом, действующим по поручению Оператора) и в случае, если сохранение ПДн более не требуется для целей обработки ПДн, уничтожить ПДн или обеспечить их уничтожение (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если:

• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн;
• Оператор не вправе осуществлять обработку без согласия субъекта ПДн на основаниях, предусмотренных 152-ФЗ или иными федеральными законами;
• иное не предусмотрено соглашением между Оператором и субъектом ПДн.

В случае отсутствия возможности уничтожения ПДн в течение срока, Оператор осуществляет блокирование таких ПДн и обеспечивает уничтожение ПДн в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

Работники Оператора, виновные в нарушении требований 152-ФЗ, принятых в соответствии с ним нормативных правовых актов и настоящей Политики, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в порядке, установленном законодательством Российской Федерации.

Контроль соблюдения требований, устанавливаемых настоящей Политикой, всеми работниками Оператора и поддержание настоящей Политики в актуальном состоянии осуществляет Ответственный за организацию обработки ПДн, назначаемый приказом Генерального директора ООО «Севен».

Настоящая Политика вступает в силу с момента ее утверждения Генеральным директором ООО «Севен» и действует бессрочно до замены ее новой Политикой.

Политика пересматривается по мере необходимости. Обязательный пересмотр Политики производится в следующих случаях:

• при изменении процессов и технологий обработки ПДн Оператором;
• по результатам проверок ФСБ, ФСТЭК России, Роскомнадзора, выявивших несоответствия требованиям законодательства РФ по обеспечению безопасности ПДн;
• при изменении требований законодательства РФ к порядку обработки и обеспечению безопасности ПДн;
• в случае выявления существенных нарушений по результатам внутренних проверок системы защиты ПДн.

Измененная Политика утверждается приказом Генерального директора ООО «Севен», либо лицом, его заменяющим.