Политика обработки персональных данных

01Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон») и определяет политику Оператора в отношении обработки персональных данных, а также сведения о реализуемых требованиях к их защите.

1.2. Оператором персональных данных является Индивидуальный предприниматель Кичаков Олег Хассанович, ИНН 771822346896 (далее — «Оператор»).

1.3. Политика применяется ко всем персональным данным субъектов, которые обрабатываются Оператором с использованием средств автоматизации и без использования таких средств, включая данные, получаемые через сайт shumshinauto.ru и его поддомены (далее — «Сайт»).

1.4. Политика является общедоступным документом. Действующая редакция размещена в свободном доступе по адресу shumshinauto.ru/personal-data.html, чем обеспечивается неограниченный доступ к ней в соответствии с частью 2 статьи 18.1 Закона.

1.5. Политика подлежит применению всеми работниками и иными лицами, привлечёнными Оператором и получающими доступ к персональным данным.

1.6. Настоящий документ конкретизирует и дополняет Политику конфиденциальности и Политику Cookie. В случае противоречия между документами в части обработки персональных данных приоритет имеет настоящая Политика.

02Термины и определения

Термины используются в значениях, установленных статьёй 3 Закона:

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, определяющее цели обработки, состав данных и совершаемые с ними действия.
• Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Автоматизированная обработка — обработка с помощью средств вычислительной техники.
• Предоставление персональных данных — действия, направленные на раскрытие данных определённому лицу или определённому кругу лиц.
• Блокирование — временное прекращение обработки (за исключением случаев, когда обработка необходима для уточнения данных).
• Уничтожение — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители.
• Обезличивание — действия, в результате которых невозможно определить принадлежность данных конкретному субъекту без использования дополнительной информации.
• Трансграничная передача — передача персональных данных на территорию иностранного государства органу власти, иностранному физическому или иностранному юридическому лицу.

03Принципы обработки

Оператор обрабатывает персональные данные на основе следующих принципов (статья 5 Закона):

• обработка осуществляется на законной и справедливой основе;
• обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора;
• не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработке подлежат только те данные, которые отвечают целям обработки;
• содержание и объём обрабатываемых данных соответствуют заявленным целям; избыточность не допускается;
• при обработке обеспечиваются точность, достаточность и актуальность данных; Оператор принимает необходимые меры по удалению или уточнению неполных или неточных данных;
• хранение осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок не установлен законом или договором;
• по достижении целей обработки или в случае утраты необходимости в их достижении данные уничтожаются или обезличиваются.

04Категории субъектов, состав данных, цели и сроки

4.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

4.2. Оператор не обрабатывает специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни), а также биометрические персональные данные.

4.3. Оператор не осуществляет обработку персональных данных в целях продвижения товаров, работ и услуг на рынке путём осуществления прямых контактов с субъектом с помощью средств связи без его предварительного согласия, а также не принимает решений, порождающих юридические последствия, исключительно на основании автоматизированной обработки.

4.4. Оператор не осуществляет распространение персональных данных неограниченному кругу лиц.

05Правовые основания

5.1. Правовыми основаниями обработки персональных данных являются:

• Конституция Российской Федерации; Гражданский кодекс Российской Федерации; Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей»; Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»; Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• договоры возмездного оказания услуг, заключаемые между Оператором и субъектами персональных данных, в том числе заключаемые путём принятия предложения (акцепта) при записи на обслуживание;
• согласие субъекта персональных данных на обработку его персональных данных, предоставляемое путём проставления отметки в соответствующем поле формы записи на Сайте перед её отправкой, а в части обработки данных с использованием файлов cookie аналитического назначения — путём нажатия кнопки «Принять» в баннере согласия;
• уставные и иные документы Оператора, регламентирующие его деятельность.

5.2. Обработка данных клиентов осуществляется также на основании пункта 5 части 1 статьи 6 Закона — для исполнения договора, стороной которого является субъект персональных данных, либо для заключения договора по инициативе субъекта.

5.3. Согласие даётся субъектом свободно, своей волей и в своём интересе, является конкретным, предметным, информированным, сознательным и однозначным. Форма записи на Сайте не содержит заранее проставленных отметок согласия.

06Порядок и условия обработки

6.1. Обработка персональных данных осуществляется Оператором смешанным способом: с использованием средств автоматизации и без их использования.

6.2. В отношении персональных данных Оператор совершает следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение, обезличивание.

6.3. Сбор персональных данных осуществляется:

• при заполнении субъектом формы записи на Сайте;
• при обращении субъекта по телефону, электронной почте или в мессенджерах;
• при личном обращении субъекта по адресу оказания услуг;
• автоматически при посещении Сайта — в объёме, указанном в разделе 4 настоящей Политики.

6.4. Персональные данные, получаемые через Сайт, записываются в базу данных заявок, размещённую в защищённой облачной информационной системе. Публичная часть Сайта имеет техническую возможность только создать новую запись в базе данных; чтение, изменение и удаление записей из публичной части невозможны. Доступ к содержимому базы предоставляется исключительно уполномоченным лицам Оператора после прохождения аутентификации в закрытой административной панели.

6.5. Обработка персональных данных прекращается в случаях: достижения целей обработки; отзыва субъектом согласия; выявления неправомерной обработки; ликвидации (прекращения деятельности) Оператора.

6.6. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.

07Локализация баз данных и трансграничная передача

7.1. При сборе персональных данных, в том числе посредством Сайта, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, в порядке, установленном частью 5 статьи 18 Закона.

7.2. Оператор не осуществляет трансграничную передачу персональных данных, за исключением случаев, когда такая передача обусловлена использованием технической инфраструктуры привлечённых обработчиков. При наличии таких случаев Оператор:

• до начала передачи уведомляет уполномоченный орган по защите прав субъектов персональных данных о намерении осуществлять трансграничную передачу в порядке статьи 12 Закона;
• убеждается в обеспечении принимающей стороной адекватной защиты прав субъектов персональных данных;
• ограничивает передаваемый объём данных минимально необходимым для соответствующей цели.

7.3. Сведения о веб-аналитике: обезличенная статистика посещений Сайта обрабатывается ООО «ЯНДЕКС» на территории Российской Федерации и только при наличии согласия посетителя на использование аналитических файлов cookie.

08Поручение обработки третьим лицам

8.1. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено законом, на основании заключаемого договора (поручения).

8.2. В поручении определяются перечень действий с персональными данными, цели обработки, обязанность обработчика соблюдать конфиденциальность и обеспечивать безопасность данных, а также требования к защите обрабатываемых данных в соответствии со статьёй 19 Закона.

8.3. Лицо, осуществляющее обработку по поручению Оператора, не обязано получать согласие субъекта и не вправе использовать данные в собственных целях. Ответственность перед субъектом за действия такого лица несёт Оператор.

8.4. Категории лиц, которым может быть поручена обработка: поставщик облачной базы данных и хостинга Сайта; поставщик системы веб-аналитики; операторы связи и сервисы отправки сервисных сообщений; лица, привлекаемые Оператором для оказания услуг автосервиса.

8.5. Персональные данные могут быть предоставлены органам государственной власти в случаях, объёме и порядке, прямо предусмотренных законодательством Российской Федерации.

09Права субъекта персональных данных

9.1. Субъект персональных данных имеет право на получение сведений, касающихся обработки его персональных данных, в том числе содержащих:

• подтверждение факта обработки персональных данных Оператором;
• правовые основания и цели обработки;
• применяемые Оператором способы обработки;
• наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к данным или которым они могут быть раскрыты на основании договора или закона;
• обрабатываемые персональные данные, относящиеся к субъекту, и источник их получения;
• сроки обработки, в том числе сроки хранения;
• порядок осуществления субъектом прав, предусмотренных Законом;
• сведения об осуществлённой или предполагаемой трансграничной передаче данных;
• наименование лица, осуществляющего обработку по поручению Оператора.

9.2. Субъект вправе требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

9.3. Субъект вправе отозвать согласие на обработку персональных данных в любое время. В случае отзыва Оператор прекращает обработку и уничтожает данные в срок, не превышающий 30 дней с даты поступления отзыва, если сохранение данных не требуется для целей обработки, осуществляемой на ином правовом основании, либо не предусмотрено законом.

9.4. Субъект вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке, а также имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

9.5. Право субъекта на доступ к своим персональным данным может быть ограничено в случаях, предусмотренных частью 8 статьи 14 Закона.

10Порядок рассмотрения обращений

10.1. Запросы, обращения и отзывы согласия направляются Оператору одним из способов:

• на адрес электронной почты info@shumshinauto.ru;
• в письменной форме по адресу: д. Шумятино, Промышленная улица, д. 9.

10.2. Запрос должен содержать: фамилию, имя, отчество субъекта (или его представителя); сведения, подтверждающие участие субъекта в отношениях с Оператором (в частности, номер телефона, указанный при записи), либо иные сведения, подтверждающие факт обработки данных Оператором; подпись субъекта или его представителя. При направлении запроса в электронной форме он оформляется в соответствии с требованиями законодательства об электронной подписи либо в свободной форме с указанием сведений, достаточных для идентификации субъекта.

10.3. Оператор предоставляет ответ на запрос в срок, не превышающий 30 дней с даты его получения. В случае отказа в предоставлении сведений Оператор даёт мотивированный ответ в тот же срок.

10.4. При выявлении неправомерной обработки Оператор в срок, не превышающий 3 рабочих дней с даты выявления, прекращает неправомерную обработку и в срок, не превышающий 10 рабочих дней, уведомляет об этом субъекта или его представителя.

10.5. При достижении цели обработки Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней, если иное не предусмотрено договором или законом.

11Меры по обеспечению безопасности

11.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий, в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• издание и применение настоящей Политики и локальных актов по вопросам обработки и защиты персональных данных;
• определение угроз безопасности персональных данных при их обработке в информационных системах и применение мер, отвечающих выявленным угрозам;
• ограничение круга лиц, допущенных к обработке, и ознакомление их под подпись с требованиями законодательства и локальных актов Оператора;
• применение защищённого протокола передачи данных (HTTPS) при обмене данными между браузером субъекта и Сайтом;
• разграничение прав доступа на уровне информационной системы: публичная часть Сайта не имеет доступа к чтению, изменению или удалению ранее сохранённых заявок;
• парольная защита административной панели и её закрытие от индексации поисковыми системами;
• резервное копирование базы данных и контроль восстановления;
• осуществление внутреннего контроля соответствия обработки требованиям Закона и оценка эффективности принимаемых мер.

11.2. Работники и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено законом.

11.3. Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных об инцидентах, повлёкших неправомерную передачу персональных данных, в сроки, установленные частью 3.1 статьи 21 Закона.

12Сроки хранения, уничтожение и обезличивание

12.1. Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки. Конкретные сроки указаны в таблице раздела 4 настоящей Политики.

12.2. Основаниями для прекращения обработки и уничтожения данных являются: достижение целей обработки либо утрата необходимости в их достижении; отзыв согласия субъекта; истечение срока, установленного разделом 4; требование субъекта об уничтожении данных, обрабатываемых незаконно; выявление факта неправомерной обработки.

12.3. Уничтожение персональных данных осуществляется способом, исключающим возможность их дальнейшего восстановления, с составлением акта об уничтожении. Уничтожение данных в электронной форме производится путём удаления записей из базы данных и из резервных копий по мере их плановой ротации.

12.4. В случаях, когда уничтожение невозможно в установленный срок по объективным причинам, Оператор осуществляет блокирование персональных данных и обеспечивает их уничтожение в срок не более шести месяцев.

12.5. Вместо уничтожения Оператор вправе осуществить обезличивание персональных данных, после которого их использование в статистических целях допускается без ограничения сроков.

13Заключительные положения

13.1. Настоящая Политика вступает в силу с момента её размещения на Сайте и действует бессрочно до замены её новой редакцией.

13.2. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента размещения на Сайте, если иное не предусмотрено самой редакцией. Дата актуальной редакции указана в начале настоящего документа.

13.3. Лица, виновные в нарушении требований Закона и настоящей Политики, несут ответственность, предусмотренную законодательством Российской Федерации.

13.4. Во всём, что не урегулировано настоящей Политикой, Оператор и субъекты персональных данных руководствуются законодательством Российской Федерации.

13.5. Контроль за исполнением требований настоящей Политики осуществляет Оператор либо назначенное им ответственное лицо.

14Реквизиты оператора

Смежные документы: Политика конфиденциальности и Политика Cookie.