Политика конфиденциальности персональных данных

Положение об обработке и защите персональных данных клиентов, контрагентов, посетителей сайта

1. Общие положения

1.1. Положение об обработке персональных данных клиентов, контрагентов, посетителей сайта в Обществе с ограниченной ответственностью «Медный клевер» (далее соответственно – Положение, Оператор) разработано в рамках требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – ФЗ № 152) в целях реализации требований законодательства в области обработки и защиты персональных данных и направлено на обеспечение защиты прав и свобод человека и гражданина при обработке его персональных данных в Обществе с ограниченной ответственностью «Медный клевер», в том числе, защиты прав на неприкосновенность частной жизни, личной и семейной тайн.

1.2. Настоящее Положение является локальным нормативным актом Оператора и разработано в соответствии со следующими нормативными правовыми актами:

• Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
• Гражданский кодекс Российской Федерации;
• Федеральный закон от 27 июля 2006 г. № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Указ Президента Российской Федерации от 06 марта 1997 г. № 188 «Об утверждении Перечня сведений конфиденциального характера»;
• Постановление Правительства Российской Федерации от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• иные нормативные правовые акты, регулирующие вопросы защиты персональных данных.

1.3. Настоящее Положения и изменения к нему утверждаются Генеральным директором Работодателя и вводятся приказом. Все работники должны быть ознакомлены под подпись с данным Положением и изменениями к нему.

1.4. Настоящее Положение определяет:

1. Категории субъектов персональных данных
2. Цели обработки персональных данных, категории и перечни обрабатываемых персональных данных;
3. Порядок и условия обработки персональных данных;
4. Сроки обработки и хранения персональных данных;
5. Порядок блокирования и уничтожения персональных данных;
6. Защита персональных данных. Процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений;
7. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных.

1.5. В настоящем Положении используются следующие основные понятия:

1. Персональные данные (ПДн) - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
2. Оператор персональных данных (Оператор) - Общество с ограниченной ответственностью «Медный клевер», ОГРН 1195074004322, ИНН 5030095873, КПП 503001001, находящееся по адресу: 143302, Московская область, г. Наро-Фоминск, Автодорожная ул., д. 2 литера е1, помещ. 39, адрес эл. почты: info@marticasa.ru, управляющее Сайтом и оказывающее Услуги Пользователям.
3. Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
4. Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники.
5. Неавтоматизированная обработка персональных данных - обработка персональных данных, осуществляемая при непосредственном участии человека без использования средств автоматизации.
6. Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
7. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
8. Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
9. Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
10. Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
11. Информационная система персональных данных (ИСПДн) - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
12. Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
13. Общедоступный источник персональных данных - объект, где располагаются общедоступные данные (справочники, адресные книги и т.п.).
14. Общедоступные персональные данные (персональные данные, сделанные общедоступными субъектом персональных данных) - персональные данные, которые в результате действий субъекта персональных данных, направленных на придание информации о себе общедоступности, стали доступными неограниченному кругу лиц. Действие субъекта персональных данных выражается либо в просьбе кому-либо разместить личные данные в месте, доступном для неограниченного круга лиц, либо в самостоятельном размещении этой информации.
15. Персональные данные ограниченного доступа - персональные данные субъектов персональных данных, подлежащие защите в установленном законодательством Российской Федерации порядке.
16. Специальные категории персональных данных - персональные данные субъектов персональных данных, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни и судимости.
17. Биометрические персональные данные - сведения, характеризующие физиологические и биологические особенности субъекта персональных данных, на основе которых можно установить его личность и которые используются Оператором для установления личности субъекта персональных данных.
18. Конфиденциальность персональных данных – обязательное для соблюдения Оператором и иными лицами, получившими доступ к персональным данным, требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
19. Носитель информации, содержащий ПДн - любой материальный объект, способный достаточно длительное время сохранять (нести) в своей структуре занесённую на него информацию, предназначенную для передачи во времени и пространстве:

    - материальный носитель (бумага, кино- и фотопленка, магнитная лента и т.п.);

    - электронный носитель информации (внешний флеш-накопитель, съемный накопитель на жестком магнитном диске, гибкий магнитный диск и оптический компакт-диск).

20. Субъект персональных данных - физическое лицо, которое прямо или косвенно, определено или определяемо с помощью персональных данных.
21. Клиент – физическое или юридическое лицо, обратившиеся к Оператору за оказанием услуг.
22. Контрагент – совершеннолетнее лицо, заключившее с Оператором гражданско-правовой договор, либо намеревающийся заключить такой договор, а также лицо, являющееся представителем юридического лица, заключившего или намеревающегося заключить гражданско-правовой договор с Оператором.
23. Гражданско-правовой договор - соглашение между Оператором и физическим лицом (физическими лицами) или юридическим лицом (юридическими лицами) об установлении, изменении или прекращении гражданских прав и обязанностей.
24. Безопасность персональных данных - состояние защищенности персональных данных, характеризуемое способностью пользователей, технических средств и информационных технологий обеспечить конфиденциальность, целостность и доступность персональных данных при их обработке в информационных системах персональных данных.
25. Режим защиты персональных данных - нормативно установленные правила, определяющие ограничения доступа к персональным данным, порядок передачи и условия их хранения.
26. Защита персональных данных - комплекс мероприятий технического, организационного и организационно-технического характера, направленных на защиту сведений, относящихся к определенному или определяемому на основании такой информации субъекту персональных данных.
27. Допуск к обработке персональных данных - процедура оформления права на доступ к персональным данным.
28. Доступ к персональным данным - возможность обработки персональных данных.
29. Сбор персональных данных - получение персональных данных непосредственно от первоисточника, т.е. от субъекта персональных данных.
30. Законодательство о ПДн – Конституция Российской Федерации, ФЗ № 152 и иные нормативные правовые акты, регулирующие отношения, связанные с обработкой ПДн.
31. Пользователь – лицо, имеющее доступ и использующее Сайт посредством сети Интернет, и предоставившее Оператору свои персональные данные при заполнении форм обратной связи, оформлении заказов, подписки на анонсы или на получение справочной информации.
32. Сайт Оператора – сайт https://marticasa.ru/ , а также иные существующие на данный момент сайты Оператора, условия использования которых ссылаются на данную Политику, а также любое развитие их и (или) добавление новых, в том числе поддомены Сайта, условия использования которых ссылаются на данную Политику, а также интерфейсы прикладного программирования (API), используемые для реализации правоотношений между Оператором и субъектами ПДн.
33. Сервисы – программы, службы, продукты, функции, интерфейсы, веб-формы, размещенные на Сайте, в частности, но не ограничиваясь:

    - доступ к электронному контенту на бесплатной и/или платной основе;

    - доступ к средствам поиска и навигации Сайта;

    - доступ к информации о товарах и услугах и к информации об условиях приобретения;

    иные виды сервисов, реализуемые на страницах, Сайта.

34. Файлы cookie – данные, которые передаются в процессе использования Сайта с помощью установленного на устройстве СПДн программного обеспечения, в том числе IP-адрес, информация о браузере (или иной программе, с помощью которой осуществляется доступ к Сайту), технические характеристики оборудования и программного обеспечения, используемых СПДн, дата и время доступа к Сайту, дата и время акцепта размещенных на Сайте оферт, сведения об истории покупок на Сайте, а также при использовании Сервисов адреса запрашиваемых страниц и иная подобная информация.

1.6. Обработка персональных данных Оператором осуществляется с соблюдением принципов и условий, предусмотренных настоящим Положением и законодательством Российской Федерации в области персональных данных.

1.7. При обработке персональных данных Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

1.8. Настоящее Положение вводится в действие, изменяется, дополняется и отменяется Приказом руководителя Оператора.

1.9. В Положение могут вноситься изменения без предварительного уведомления субъектов персональных данных и прочих лиц. Актуальная редакция Положения размещена на сайте: https://marticasa.ru/.

2. Категории субъектов персональных данных

2.1. К субъектам персональных данных, персональные данные которых обрабатываются Оператором относятся:

1. Контрагенты;
2. Представители контрагентов;
3. Клиенты;
4. Выгодоприобретатели по договорам;
5. Посетители сайта,
6. Иные категории субъектов персональных данных, персональные данные которых обрабатываются.

3. Цели обработки персональных данных, категории и перечни обрабатываемых персональных данных

3.1. Настоящая статья определяет перечень целей обработки персональных данных, категории и перечни обрабатываемых персональных данных:

3.2. Использование сервисов веб-аналитики

3.2.1. В целях анализа посещаемости Сайта, улучшения его функционирования, оптимизации пользовательского опыта, повышения качества оказываемых услуг, а также проведения статистических и маркетинговых исследований Оператор использует сервис веб-аналитики Яндекс Метрика, предоставляемый ООО «ЯНДЕКС».

3.2.2. Сервис Яндекс Метрика использует файлы cookie и иные технологии автоматического сбора информации о Пользователях.

3.2.3. В рамках работы сервиса могут обрабатываться следующие категории данных:

• IP-адрес устройства Пользователя;
• данные о местоположении (на уровне региона);
• сведения о браузере, операционной системе и типе устройства;
• источник перехода на Сайт;
• сведения о действиях Пользователя на Сайте (просмотренные страницы, клики, время пребывания, заполнение форм);
• дата и время посещения Сайта;
• иная техническая информация, автоматически передаваемая устройством Пользователя.

3.2.4. Указанные данные обрабатываются преимущественно в обезличенном и агрегированном виде и используются исключительно в аналитических и статистических целях.

3.2.5. Обработка персональных данных с использованием сервиса Яндекс Метрика осуществляется на основании согласия субъекта персональных данных, выраженного посредством принятия условий использования файлов cookie и/или продолжения использования Сайта после отображения уведомления о применении cookie.

3.2.6. Оператор не использует полученные данные для установления личности конкретного Пользователя.

4. Порядок и условия обработки персональных данных

4.1. Обработка персональных данных осуществляется с согласия субъектов персональных данных, если иное не предусмотрено законодательством Российской Федерации.

4.2. Обработка персональных данных выполняется с использованием средств автоматизации или без использования таких средств и включает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных субъектов персональных данных, персональные данные которых обрабатываются Оператором.

4.3. Обработка персональных данных без использования средств автоматизации может осуществляться в виде документов на бумажных носителях и в электронном виде (файлы, базы данных) на электронных носителях информации.

4.4. К обработке персональных данных допускаются только те работники Оператора, в должностные обязанности которых входит обработка персональных данных.

Указанные работники имеют право получать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей.

4.5. Обработка персональных данных осуществляется путем:

• получения информации, содержащей персональные данные, в устной и письменной форме непосредственно от субъектов персональных данных;
• предоставления субъектами персональных данных оригиналов необходимых документов;
• получения заверенных в установленном порядке копий документов, содержащих персональные данные или копирования оригиналов документов;
• получения персональных данных при направлении запросов в органы государственной власти, государственные внебюджетные фонды, иные государственные органы, органы местного самоуправления, коммерческие и некоммерческие организации, физическим лицам в случаях и порядке, предусмотренных законодательством Российской Федерации;
• получения персональных данных из общедоступных источников;
• фиксации (регистрации) персональных данных в журналах, книгах, реестрах и других учетных формах;
• внесения персональных данных в информационные системы Оператора;
• использования иных средств и способов фиксации персональных данных, получаемых в рамках осуществляемой Оператором деятельности.

4.6. Передача персональных данных третьим лицам допускается с письменного согласия субъектов персональных данных, за исключением случаев, когда это необходимо в целях предупреждения угрозы жизни и здоровью субъектов персональных данных, а также в иных случаях, установленных законодательством Российской Федерации.

При передаче персональных данных третьим лицам в соответствии с заключенными договорами Оператор обеспечивает обязательное выполнение требований законодательства Российской Федерации и локальных нормативных актов Оператора в области персональных данных.

Передача персональных данных в уполномоченные органы исполнительной власти и организации осуществляется в соответствии с требованиями законодательства Российской Федерации.

Трансграничная передача персональных данных не осуществляется. Передача данных сервисам веб-аналитики осуществляется в объеме, необходимом для достижения целей обработки персональных данных. Оператор обеспечивает соблюдение требований законодательства Российской Федерации о персональных данных при передаче информации таким лицам.

4.7. Хранение персональных данных Оператором осуществляется в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели их обработки. При достижении целей обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку персональные данные подлежат уничтожению, если:

• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Оператором и субъектом персональных данных;
• Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных законодательством о ПДн.

4.8 Использование файлов cookie

4.8.1. Сайт использует файлы cookie и аналогичные технологии для обеспечения корректной работы Сайта, повышения удобства его использования, анализа поведения Пользователей и улучшения качества предоставляемых услуг.

4.8.2. Cookie представляют собой небольшие текстовые файлы, сохраняемые на устройстве Пользователя при посещении Сайта.

4.8.3. Оператор использует следующие категории cookie:

• технические (обеспечивающие работу Сайта);
• аналитические (в том числе используемые сервисом Яндекс Метрика);
• функциональные.

4.8.4. Пользователь вправе отключить сохранение cookie в настройках своего браузера. В этом случае отдельные функции Сайта могут работать некорректно.

4.8.5. Продолжая использование Сайта после отображения уведомления об использовании cookie, Пользователь выражает согласие на обработку данных с использованием файлов cookie.

5. Сроки обработки и хранения персональных данных. Порядок уничтожения персональных данных

5.1. Сроки обработки и хранения персональных данных определяются в соответствии с законодательством Российской Федерации и локальными нормативными актами Оператора.

5.1.1. Согласие на обработку персональных действует до достижения целей обработки персональных данных или до момента его отзыва.

5.2. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.

5.3. Персональные данные подлежат уничтожению в следующих случаях:

1. При достижении цели обработки персональных данных или в случае утраты необходимости в достижении цели обработки персональных данных, если иное не предусмотрено ФЗ № 152;
2. При изменении, признании утратившими силу нормативных правовых актов, устанавливающих правовые основания обработки персональных данных;
3. При выявлении факта неправомерной обработки персональных данных;
4. При отзыве субъектом персональных данных согласия, если иное не предусмотрено ФЗ №152.

5.4. Оператором осуществляется, систематический контроль и выявление документов, содержащих персональные данные с истекшими сроками хранения.

5.5. Уничтожение персональных данных производится в следующих случаях:

1. при достижении целей обработки персональных данных или в случае утраты необходимости в достижении целей обработки персональных данных, если иное не установлено правилами Положения и требованиями действующего законодательства о ПДн;
2. при истечении срока действия правовых оснований обработки персональных данных;
3. при выявлении факта обработки персональных данных, не соответствующей требованиям Положения и/или требованиям действующего законодательства о ПДн;
4. при отзыве субъектом персональных данных согласия на обработку персональных данных, если иное не предусмотрено требованиями действующего законодательства о ПДн;
5. при предъявлении субъектом персональных данных требования о прекращении обработки персональных данных в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, если иное не предусмотрено требованиями действующего законодательства о ПДн;
6. при получении от надзорного органа решения об уничтожении ПДн, в том числе решения о запрете или ограничении трансграничной передачи ПДн.

5.6. Уничтожение персональных данных производится посредством осуществления действий, в результате которых становится невозможным восстановить содержание персональных данных в информационных системах и/или в результате которых уничтожаются материальные носители персональных данных.

6. Защита персональных данных. Процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений

6.1. Оператор обеспечивает режим защиты и безопасности персональных данных при их обработке в соответствии с законодательством Российской Федерации и локальными нормативными актами (документами) Оператора.

6.2. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

6.3. Режим защиты персональных данных обеспечивает предотвращение нарушения конфиденциальности, целостности и доступности персональных данных при их обработке.

6.4. Защита персональных данных Оператором предусматривает ограничение доступа к ним. Доступ к персональным данным субъектов персональных данных разрешается только уполномоченным работникам, которым эти персональные данные необходимы для выполнения должностных обязанностей.

6.5. Для обеспечения безопасности персональных данных Оператором:

1. Разработаны локальные акты, по вопросам обработки персональных данных.
2. Лица, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями по защите персональных данных, документами, определяющими политику в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных.
3. Назначен ответственный за организацию обработки персональных данных.
4. На стенде и сайте размещен документ, определяющий политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных, данных.
5. Разработаны модели угроз безопасности персональным данным в информационных системах.
6. В информационных системах, в которых происходит обработка персональных данных, устанавливается уровень их защищенности.
7. Обеспечивается учет машинных носителей персональных данных.
8. Обеспечивается восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
9. Разработаны правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечивается регистрация и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных.
10. Осуществляется внутренний контроль соответствия обработки персональных данных требованиям ФЗ № 152 и принятым в соответствии с ним нормативно правовым актам.

6.6. Применяются следующие средства обеспечения безопасности:

1. Наличие установленного антивирусного программного обеспечения.
2. Исключена возможность неконтролируемого проникновения или пребывания посторонних лиц в помещения, где ведется работа с персональными данными.
3. Обеспечена сохранность носителей персональных данных и средств защиты информации.

6.7. Меры защиты персональных данных при их неавтоматизированной обработке осуществляются в соответствии требованиями законодательства РФ, а также в соответствии с локальными нормативными актами (документами) Общества об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации.

6.8. Меры защиты персональных данных при их неавтоматизированной обработке в информационных системах устанавливаются в соответствии со специальными требованиями к технической защите информации, определенными законодательством РФ.

6.9. Защита персональных данных субъектов и их законных прав, обеспечиваются Оператором за счет собственных средств.

7. Ответственность за нарушение норм, регулирующих обработку и защиту персональных данных

7.1. Лица, виновные в нарушении законодательства Российской Федерации и нормативных документов Оператора в области обработки и защиты персональных данных, несут дисциплинарную, гражданско-правовую, административную и уголовную ответственность.

7.2. Моральный вред, причиненный субъектам персональных данных вследствие нарушения их прав, правил обработки персональных данных, а также требований к защите персональных данных, установленных законодательством Российской Федерации и нормативными документами Оператора в области обработки и защиты персональных данных, подлежит возмещению в соответствии с законодательством Российской Федерации.

8. Заключительные положения

8.1. Контроль выполнения требований законодательства Российской Федерации и нормативных документов Оператора в области обработки и защиты персональных данных, осуществляется руководителем Оператора.

8.2. Государственный контроль организации обработки персональных данных осуществляется уполномоченным органом по защите прав субъектов персональных данных (Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций – Роскомнадзор) в рамках его полномочий в соответствии с действующим законодательством Российской Федерации.

8.3. Пересмотр настоящего Положения осуществляется в случаях изменения действующего законодательства Российской Федерации в области обработки и защиты персональных данных или изменения бизнес-процессов Оператора, связанных с обработкой и защитой персональных данных.