«УТВЕРЖДАЮ»

Генеральный директор ООО «СЕАС»

Афанасьев Игнат Александрович

«08» сентября 2022г.

Редакция: № 01

ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных далее — «Политика» разработана в соответствии с Конституцией Российской Федерации, Трудовым кодексом Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» далее — «Закон о персональных данных» и иными нормативными правовыми актами Российской Федерации в области обработки и защиты персональных данных.

1.2. Политика определяет порядок и условия обработки персональных данных:

· работников и бывших работников Оператора;

· членов семей и иных лиц, сведения о которых предоставляются работниками в случаях, предусмотренных законодательством;

· соискателей на замещение вакантных должностей;

· физических лиц — контрагентов и клиентов Оператора;

· представителей и работников контрагентов и клиентов Оператора;

· посетителей территории Оператора;

· посетителей и пользователей сайта Оператора;

· лиц, направляющих Оператору обращения, запросы, заявки и претензии;

· получателей рекламных и информационных сообщений.

1.3. Оператором персональных данных является:

Общество с ограниченной ответственностью «СЕАС»

Общество с ограниченной ответственностью «СЕАС»
ОГРН: 1227700555136
ИНН/КПП: 9726020910 / 772601001
Юридический адрес: 117587, Г.МОСКВА, ВН.ТЕР.Г. МУНИЦИПАЛЬНЫЙ ОКРУГ ЧЕРТАНОВО СЕВЕРНОЕ, УЛ ДНЕПРОПЕТРОВСКАЯ, Д. 2, ЭТАЖ/ПОМЕЩ 05/573
Адрес электронной почты для обращений по вопросам обработки персональных данных: info@ceacert.ru
Адрес сайта: https://www.ceacert.ru/

далее — «Оператор».

1.4. Настоящая Политика является общедоступным документом. Подробные внутренние процедуры обработки и защиты персональных данных устанавливаются локальными актами Оператора, доступ к которым может быть ограничен в целях обеспечения информационной безопасности и защиты конфиденциальной информации.

1.5. Основные понятия

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу.

Обработка персональных данных — любое действие или совокупность действий, совершаемых с персональными данными с использованием средств автоматизации или без них, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Блокирование персональных данных — временное прекращение обработки персональных данных, кроме случаев, когда обработка необходима для их уточнения.

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и/или уничтожаются материальные носители.

Обезличивание персональных данных — действия, в результате которых без использования дополнительной информации невозможно определить принадлежность персональных данных конкретному субъекту.

Сайт — совокупность программ для электронных вычислительных машин и информации, доступ к которой обеспечивается через сеть Интернет по адресу: https://www.ceacert.ru/.

Файлы cookie — небольшие фрагменты данных, сохраняемые браузером на устройстве пользователя при посещении Сайта.

CRM-система — информационная система, используемая Оператором для учёта обращений, клиентов, заказов, сделок и взаимодействий с клиентами.

Сервисы веб-аналитики — программные средства, используемые для сбора и анализа сведений о посещении Сайта и действиях пользователей.

2. Принципы обработки персональных данных

2.1. Обработка персональных данных осуществляется Оператором на основе следующих принципов:

· законности и справедливости;

· ограничения обработки достижением конкретных, заранее определённых и законных целей;

· недопустимости обработки, несовместимой с целями сбора персональных данных;

· недопустимости объединения баз данных, обработка которых осуществляется в несовместимых целях;

· обработки только тех персональных данных, которые необходимы для заявленных целей;

· соответствия содержания и объёма обрабатываемых данных заявленным целям;

· недопустимости обработки избыточных персональных данных;

· обеспечения точности, достаточности и актуальности персональных данных;

· хранения данных не дольше, чем этого требуют цели обработки или законодательство;

· уничтожения либо обезличивания данных после достижения целей обработки, если отсутствуют законные основания для их дальнейшего хранения.

2.2. Оператор не обрабатывает персональные данные, которые заведомо не требуются для заявленной цели. Перечни данных, приведённые в настоящей Политике, применяются только в той части, в которой соответствующие сведения фактически собираются Оператором.

3. Правовые основания обработки персональных данных

3.1. Правовыми основаниями обработки являются:

· Конституция Российской Федерации;

· Трудовой кодекс Российской Федерации;

· Гражданский кодекс Российской Федерации;

· Налоговый кодекс Российской Федерации;

· Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;

· Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

· Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;

· Федеральный закон от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации»;

· Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»;

· иные нормативные правовые акты, применимые к деятельности Оператора;

· устав и локальные акты Оператора;

· договоры, стороной, выгодоприобретателем или поручителем по которым является субъект персональных данных;

· действия, необходимые для заключения договора по инициативе субъекта;

· согласие субъекта персональных данных;

· необходимость исполнения обязанностей и осуществления прав Оператора, установленных законодательством;

· осуществление прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта.

3.2. Когда обработка осуществляется на основании согласия, такое согласие должно быть конкретным, предметным, информированным, сознательным и однозначным.

3.3. Согласие на обработку персональных данных, согласие на получение рекламы и согласие на использование необязательных аналитических и рекламных технологий оформляются отдельно друг от друга и отдельно от пользовательского соглашения, публичной оферты и иных документов.

3.4. Оператор обязан иметь возможность подтвердить факт получения согласия субъекта.

4. Права и обязанности Оператора

4.1. Оператор вправе:

· самостоятельно определять меры, необходимые для выполнения обязанностей в области обработки персональных данных;

· поручать обработку персональных данных другим лицам на основании договора и при наличии соответствующего правового основания;

· продолжить обработку после отзыва согласия, если имеются предусмотренные законом основания;

· защищать свои права и законные интересы, в том числе в судебном и претензионном порядке.

4.2. Оператор обязан:

· обрабатывать персональные данные законно и добросовестно;

· предоставлять субъектам сведения об обработке их персональных данных;

· принимать меры по обеспечению точности и актуальности данных;

· прекращать неправомерную обработку;

· уничтожать данные при наступлении установленных законом оснований;

· обеспечивать безопасность и конфиденциальность персональных данных;

· назначить лицо, ответственное за организацию обработки персональных данных;

· уведомлять Роскомнадзор в предусмотренных законом случаях;

· обеспечивать исполнение требований субъектов персональных данных.

5. Права субъектов персональных данных

5.1. Субъект персональных данных вправе:

· получать информацию об обработке своих персональных данных;

· требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими, неточными, незаконно полученными либо не требуются для заявленной цели;

· отозвать ранее предоставленное согласие;

· потребовать прекращения обработки персональных данных;

· отказаться от получения рекламных сообщений;

· изменить настройки использования аналитических и рекламных файлов cookie;

· обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке;

· осуществлять иные права, предусмотренные законодательством.

5.2. Для реализации прав субъект может направить обращение по почтовому адресу Оператора или по адресу электронной почты, указанному в пункте 1.3 Политики.

6. Цели и условия обработки персональных данных

6.1. Кадровый, воинский, налоговый и бухгалтерский учёт, организация трудовых отношений

Субъекты:

· работники и бывшие работники;

· в предусмотренных законом случаях — члены семей работников, иждивенцы и иные лица, сведения о которых предоставляются работником.

Обрабатываемые данные:

· фамилия, имя, отчество;

· дата и место рождения;

· пол и гражданство;

· адрес места жительства и регистрации;

· номер телефона и адрес электронной почты;

· данные паспорта или иного удостоверяющего личность документа;

· ИНН;

· СНИЛС;

· сведения о трудовой деятельности и стаже;

· сведения об образовании, квалификации и профессиональной подготовке;

· сведения о должности, условиях труда и оплате труда;

· сведения о воинском учёте;

· банковские реквизиты, необходимые для выплаты заработной платы;

· сведения о начислениях, удержаниях, доходах и налогах;

· сведения об отпусках, командировках, поощрениях и дисциплинарных взысканиях;

· сведения, содержащиеся в кадровых, бухгалтерских и расчётных документах;

· сведения о семейном положении и членах семьи — только когда они необходимы для предоставления гарантий, компенсаций, вычетов или исполнения иных обязанностей работодателя.

Сведения о состоянии здоровья обрабатываются только в объёме, необходимом для определения возможности выполнения трудовой функции, прохождения обязательных медицинских осмотров, оформления листков нетрудоспособности, расследования несчастных случаев и исполнения иных обязанностей работодателя.

Сведения о судимости обрабатываются только применительно к должностям и видам деятельности, для которых законодательством установлены соответствующие ограничения.

Биометрические персональные данные работников Оператором не обрабатываются, если иное прямо не предусмотрено отдельным локальным актом и надлежащим правовым основанием.

Правовые основания:

· трудовое, налоговое, пенсионное, социальное, воинское и архивное законодательство;

· трудовой договор;

· согласие работника — в случаях, когда оно необходимо.

Способ обработки:

смешанная обработка — с использованием средств автоматизации и без них, с передачей по внутренней сети Оператора и по сети Интернет в случаях электронного взаимодействия с государственными органами, банками, операторами электронного документооборота и иными уполномоченными лицами.

Получатели:

· ФНС России;

· Социальный фонд России;

· военные комиссариаты;

· органы занятости;

· государственные инспекции;

· банки;

· страховые и медицинские организации;

· операторы электронного документооборота;

· иные лица в случаях, предусмотренных законодательством или отдельным согласием работника.

Сроки:

персональные данные обрабатываются в течение трудовых отношений и далее в сроки, предусмотренные налоговым, бухгалтерским, трудовым и архивным законодательством и номенклатурой дел Оператора.

Документы по личному составу, законченные делопроизводством после 1 января 2003 года, хранятся 50 лет, а законченные до 1 января 2003 года — 75 лет, если для конкретного документа не установлен иной срок.

6.2. Подбор персонала

Субъекты — соискатели на вакантные должности.

Обрабатываемые данные:

· фамилия, имя, отчество;

· контактный номер телефона;

· адрес электронной почты;

· город или регион проживания;

· дата рождения — если необходима для оценки возможности заключения трудового договора;

· сведения об образовании, квалификации и опыте работы;

· сведения о профессиональных навыках;

· сведения, содержащиеся в резюме и сопроводительном письме;

· желаемая должность и условия работы;

· результаты собеседований и профессионального тестирования;

· рекомендации — при наличии отдельного правового основания.

До принятия решения о трудоустройстве Оператор не запрашивает паспортные данные, СНИЛС, ИНН, сведения о воинском учёте, банковские реквизиты, сведения о здоровье и судимости, за исключением случаев, когда получение таких сведений на соответствующем этапе прямо требуется законом.

Правовые основания:

· согласие соискателя;

· действия, необходимые для возможного заключения трудового договора по инициативе соискателя.

Сам по себе факт направления резюме на электронную почту не заменяет отдельное согласие, если обработка данных выходит за пределы рассмотрения конкретной вакансии, например при включении кандидата в кадровый резерв.

Способ обработки:

смешанная обработка с возможностью получения резюме через электронную почту, Сайт, сервисы поиска работы и иные согласованные каналы.

Сроки:

до принятия решения по соответствующей вакансии и в течение 30 календарных дней после её закрытия.

Для включения в кадровый резерв требуется отдельное согласие; срок хранения данных в кадровом резерве — не более одного года, если в согласии не установлен меньший срок.

6.3. Подготовка, заключение и исполнение договоров, оформление заказов и расчётов

Субъекты:

· физические лица — контрагенты и клиенты;

· представители и работники юридических лиц и индивидуальных предпринимателей;

· получатели товаров, работ или услуг.

Обрабатываемые данные:

· фамилия, имя, отчество;

· должность и место работы;

· телефон и адрес электронной почты;

· почтовый адрес и адрес доставки;

· данные документа, удостоверяющего личность, — только когда они требуются законодательством или характером договора;

· ИНН и сведения о статусе индивидуального предпринимателя;

· банковские и платёжные реквизиты;

· сведения о договоре, заказе, товарах, работах и услугах;

· сведения об оплате, доставке, возврате и исполнении обязательств;

· содержание деловой переписки;

· сведения, указанные в доверенностях и иных документах, подтверждающих полномочия.

Правовые основания:

· заключение и исполнение договора;

· исполнение обязанностей, установленных законодательством;

· осуществление прав и законных интересов Оператора и его контрагентов;

· согласие — когда оно требуется.

Способ обработки:

смешанная обработка с использованием бухгалтерских программ, CRM-системы, электронной почты, систем электронного документооборота, банковских и платёжных сервисов, служб доставки и иных информационных систем.

Получатели:

· банки и платёжные организации;

· транспортные, курьерские и почтовые организации;

· операторы электронного документооборота;

· бухгалтерские, юридические и аудиторские организации;

· поставщики CRM-, хостинговых и информационно-технических услуг;

· государственные органы в предусмотренных законом случаях.

Сроки:

в течение срока действия договора и далее в сроки, установленные законодательством, номенклатурой дел и сроками исковой давности. При отсутствии специального срока данные хранятся не более трёх лет после прекращения договорных отношений.

6.4. Обеспечение пропускного и внутриобъектового режима

Субъекты:

· посетители территории Оператора;

· представители контрагентов;

· клиенты;

· соискатели;

· иные лица, посещающие помещения Оператора.

Обрабатываемые данные:

· фамилия, имя, отчество;

· наименование представляемой организации;

· цель посещения;

· дата и время входа и выхода;

· сведения о принимающем работнике;

· данные документа, удостоверяющего личность, — только если их проверка действительно предусмотрена установленным у Оператора пропускным режимом;

· государственный регистрационный номер транспортного средства — при въезде транспорта.

Правовые основания:

· законные интересы Оператора по обеспечению безопасности;

· согласие — если оно требуется с учётом состава собираемых данных.

Способ обработки — автоматизированная и/или неавтоматизированная обработка.

Срок хранения:

не более одного года со дня посещения, если более длительный срок не требуется для расследования происшествия, рассмотрения претензии или исполнения требований законодательства.

6.5. Обработка обращений и заявок, поступающих через Сайт, электронную почту и иные каналы связи

Субъекты — посетители Сайта, клиенты и иные обратившиеся лица.

Обрабатываемые данные:

· фамилия, имя, отчество — если указываются;

· номер телефона;

· адрес электронной почты;

· название организации и должность;

· содержание обращения;

· прикреплённые документы;

· сведения об интересующих товарах, работах или услугах;

· дата и время обращения;

· техническая информация, необходимая для защиты формы от злоупотреблений.

Оператор обрабатывает только те поля, которые фактически предусмотрены соответствующей формой. Адрес проживания, паспортные данные, пароль от личного кабинета и иные сведения не включаются в данную цель, если они не запрашиваются непосредственно и обоснованно.

Правовые основания:

· согласие пользователя;

· действия, необходимые для заключения договора по инициативе пользователя;

· исполнение договора — если обращение связано с действующим договором.

Способ обработки:

автоматизированная и смешанная обработка с передачей по сети Интернет, электронной почте и в CRM-систему Оператора.

Сроки:

до завершения рассмотрения обращения и далее не более трёх лет с даты последнего взаимодействия, если обращение не привело к заключению договора. При заключении договора применяются сроки, установленные пунктом 6.3 Политики.

6.6. Направление рекламных и информационных сообщений

Субъекты — клиенты, пользователи Сайта и иные лица, отдельно согласившиеся на получение сообщений.

Обрабатываемые данные:

· фамилия и имя — при наличии;

· номер телефона;

· адрес электронной почты;

· идентификатор пользователя или клиента;

· сведения о предоставленном согласии;

· сведения об отправке, доставке и открытии сообщения.

Правовые основания:

отдельное предварительное согласие на получение рекламы и отдельное согласие на обработку персональных данных для соответствующей цели.

Способы взаимодействия:

· электронная почта;

· СМС;

· push-уведомления;

· телефонные звонки;

· мессенджеры — если пользователь отдельно выбрал такой канал.

Срок:

до отзыва согласия, если согласие не было подтверждено повторно.

Субъект может отказаться от сообщений в любой момент с помощью ссылки в письме, настроек личного кабинета либо обращения к Оператору.

6.7. Веб-аналитика, электронная коммерция, сквозная аналитика и рекламная персонализация

Субъекты:

· посетители и пользователи Сайта;

· клиенты, данные о заказах и обращениях которых сопоставляются с посещениями Сайта.

Используемые сервисы:

Оператор использует сервисы «Яндекс.Метрика» и «Яндекс.Директ».

Обработка данных посредством «Яндекс.Метрики» поручается ООО «ЯНДЕКС», ОГРН 1027700229193, адрес: 119021, г. Москва, ул. Льва Толстого, д. 16.

Обрабатываемые данные:

- IP-адрес;
- файлы cookie и идентификаторы локального хранилища браузера;
- ClientID — идентификатор браузера, создаваемый «Яндекс.Метрикой»;
- UserID — внутренний идентификатор пользователя, присваиваемый Оператором;
- yclid — идентификатор перехода по рекламе;
- PurchaseID и иные идентификаторы заказов и конверсий;
- сведения об устройстве, браузере, операционной системе, разрешении экрана и языке;
- приблизительное местоположение, определяемое по сетевым данным;
- дата, время и продолжительность посещения;
- адреса просмотренных страниц;
- источник перехода на Сайт;
- поисковые запросы и сведения о рекламной кампании — когда такие сведения доступны;
- сведения о кликах, переходах, прокрутке, заполнении форм, загрузке файлов и достижении целей;
- сведения об ошибках и технических событиях.

Вебвизор

При включённой функции «Вебвизор» могут записываться движения указателя, нажатия, прокрутка страниц, переходы, взаимодействие с элементами и формами, отображаемое содержимое страницы и последовательность действий пользователя.

Оператор обязан отключить запись содержимого полей, предназначенных для ввода имени, телефона, электронной почты, адреса, платёжных реквизитов, паролей, текста переписки и иной конфиденциальной информации, либо закрыть такие поля и блоки от записи техническими средствами.

Пароли, реквизиты банковских карт, специальные категории персональных данных и биометрические персональные данные не должны передаваться в «Яндекс.Метрику».

Электронная коммерция -

В рамках электронной коммерции могут обрабатываться:

- просмотр списка и карточки товара;
- нажатие на товар;
- добавление товара в корзину и удаление из неё;
- начало оформления и совершение покупки;
- идентификатор, название, бренд, категория и вариант товара;
- цена, количество, валюта и сумма заказа;
- идентификатор заказа;
- промокод;
- сведения о внутренней рекламной кампании и взаимодействии с ней.

CRM и офлайн-конверсии -

Для сквозной аналитики Оператор может передавать в «Яндекс.Метрику» следующие сведения из CRM-системы:

- ClientID, UserID, yclid или PurchaseID;
- номер телефона и адрес электронной почты, в том числе в хешированном или ином преобразованном виде;
- внутренний идентификатор клиента, обращения, заявки, заказа или сделки;
- дата создания и изменения заявки или заказа;
- статус заявки, заказа или сделки;
- источник обращения;
- сумма, доход, себестоимость и валюта;
- сведения о заказанных товарах и услугах;
- сведения об оплате, исполнении, отмене или возврате;
- сведения об офлайн-конверсии.

Передача CRM-данных допускается только при наличии правового основания, соответствующего целям сквозной аналитики, рекламной персонализации и передачи данных ООО «ЯНДЕКС».

Интеграция с «Яндекс.Директом»

Данные «Яндекс.Метрики», сведения об электронной коммерции, цели, конверсии и сегменты аудитории могут использоваться для:

- оценки эффективности рекламных кампаний;
- сопоставления рекламного перехода с заявкой, заказом или продажей;
- ретаргетинга;
- исключения отдельных пользователей из рекламных аудиторий;
- персонализации рекламы;
- формирования аудиторных сегментов;
- работы автоматических рекламных стратегий;
- оптимизации ставок и рекламного бюджета.

Цели обработки:

· ведение статистики посещений;

· анализ поведения пользователей;

· улучшение работы и содержания Сайта;

· выявление технических ошибок;

· анализ продаж и электронной коммерции;

· сопоставление онлайн- и офлайн-действий;

· построение сквозной аналитики;

· оценка эффективности рекламы;

· формирование рекламных аудиторий;

· ретаргетинг и персонализация рекламы.

Правовые основания:

- отдельное согласие на аналитические технологии;
- отдельное согласие на рекламные технологии и персонализацию рекламы;
- отдельное правовое основание для передачи данных из CRM.

«Яндекс.Метрика», Вебвизор, электронная коммерция, рекламные идентификаторы и иные необязательные аналитические и рекламные технологии не должны активироваться до получения соответствующего согласия пользователя.

Пользователю должна быть предоставлена возможность отдельно разрешить или отклонить аналитические и рекламные технологии.

Способ обработки — автоматизированная обработка с передачей по сети Интернет.

Срок:

до достижения целей обработки, отзыва согласия или истечения трёх лет с момента предоставления согласия — в зависимости от того, какое событие наступит раньше.

7. Лица, осуществляющие обработку по поручению Оператора, и получатели данных

7.1. Оператор вправе поручать обработку персональных данных лицам, оказывающим:

· услуги хостинга;

· услуги технической поддержки;

· услуги CRM;

· услуги электронной почты и телефонии;

· бухгалтерские, юридические и аудиторские услуги;

· услуги электронного документооборота;

· услуги доставки;

· услуги рассылки сообщений;

· услуги веб-аналитики и интернет-рекламы.

7.2. Оператор фактически поручает обработку персональных данных::

· хостинг и система управления Сайтом: Общество с ограниченной ответственностью «Регистратор доменных имен РЕГ.РУ», ИНН 7733568767, КПП 774301001, адрес: 125315, г. Москва, вн. тер. г. муниципальный округ Аэропорт, Ленинградский проспект, д. 72, к. 3;, Общество с ограниченной ответственностью «1С-Битрикс», ИНН 7717586110, адрес: 109544, г. Москва, б-р Энтузиастов, д. 2, 13-й этаж, помещения 8–19;

· CRM-система: Общество с ограниченной ответственностью «1С-Битрикс», ИНН 7717586110, адрес: 109544, г. Москва, б-р Энтузиастов, д. 2, 13-й этаж, помещения 8–19;

· онлайн-чат: Общество с ограниченной ответственностью «1С-Битрикс», ИНН 7717586110, адрес: 109544, г. Москва, б-р Энтузиастов, д. 2, 13-й этаж, помещения 8–19;

· сервис телефонии или колл-трекинга: Общество с ограниченной ответственностью «1С-Битрикс», ИНН 7717586110, адрес: 109544, г. Москва, б-р Энтузиастов, д. 2, 13-й этаж, помещения 8–19;

· сервис рассылок: Общество с ограниченной ответственностью «1С-Битрикс», ИНН 7717586110, адрес: 109544, г. Москва, б-р Энтузиастов, д. 2, 13-й этаж, помещения 8–19; ООО «Живой Сайт» (ОГРН 1127746026792, ИНН 7725745476, КПП 772501001) 115280, Г. МОСКВА, ЛЕНИНСКАЯ СЛОБОДА Д.19 БЦ "ОМЕГАПЛАЗА", ЭТАЖ 4, ОФИС 21Г1

· сервис защиты от автоматических запросов: Общество с ограниченной ответственностью «1С-Битрикс», ИНН 7717586110, адрес: 109544, г. Москва, б-р Энтузиастов, д. 2, 13-й этаж, помещения 8–19;

· видеоплееры, карты, социальные сети и иные виджеты: Общество с ограниченной ответственностью «1С-Битрикс», ИНН 7717586110, адрес: 109544, г. Москва, б-р Энтузиастов, д. 2, 13-й этаж, помещения 8–19;

· Приложение для для общения в реальном времени пользователей Jivo: Общество с ограниченной ответственностью ООО «ЖИВОЙ САЙТ», ИНН 772574547, адрес: 115280, г. Москва, Ленинская слобода д.19 БЦ

7.3. В договоре с лицом, осуществляющим обработку по поручению Оператора, устанавливаются:

· перечень персональных данных;

· перечень действий с ними;

· цели обработки;

· обязанность соблюдать конфиденциальность;

· требования к безопасности;

· обязанность предоставлять сведения, подтверждающие принятые меры;

· обязанность уведомлять Оператора об инцидентах;

· порядок прекращения обработки и уничтожения данных.

7.4. Оператор не продаёт персональные данные субъектов.

8. Сбор, хранение и локализация персональных данных

8.1. Персональные данные, как правило, получаются непосредственно от субъекта.

8.2. При получении данных от третьего лица Оператор предоставляет субъекту предусмотренную законом информацию, если отсутствуют основания, освобождающие Оператора от такой обязанности.

8.3. При сборе персональных данных граждан Российской Федерации, в том числе через Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение таких данных с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом исключений.

8.4. Хранение осуществляется:

· в информационных системах;

· в CRM-, кадровых и бухгалтерских программах;

· на серверах и рабочих устройствах с ограниченным доступом;

· на бумажных носителях в помещениях и шкафах, исключающих свободный доступ посторонних лиц.

8.5. Резервные копии персональных данных хранятся в течение установленного Оператором цикла резервного копирования. После наступления основания для уничтожения данные удаляются из рабочих систем, а из резервных копий — по мере их плановой перезаписи, при условии блокирования и невозможности иного использования таких данных.

9. Трансграничная передача

9.1. На дату утверждения Политики Оператор НЕ ОСУЩЕСТВЛЯЕТ трансграничную передачу персональных данных.

9.2. Перед публикацией необходимо проверить фактическое размещение серверов хостинга, CRM, электронной почты, резервных копий, систем рассылок, виджетов, онлайн-чатов и иных используемых сервисов.

9.3. До начала трансграничной передачи Оператор выполняет требования законодательства, включая направление предусмотренного уведомления Роскомнадзору и оценку условий обработки данных в соответствующем иностранном государстве.

10. Использование файлов cookie

10.1. Сайт может использовать обязательные, функциональные, аналитические и рекламные файлы cookie.

10.2. Обязательные cookie используются для функционирования Сайта, обеспечения безопасности, сохранения пользовательской сессии и исполнения действий, запрошенных пользователем.

10.3. Аналитические и рекламные cookie используются только после получения согласия.

10.4. Пользователю предоставляется возможность:

- разрешить все категории;
- отклонить необязательные cookie;
- отдельно настроить аналитические и рекламные технологии;
- впоследствии изменить ранее сделанный выбор.

10.5. Продолжение просмотра Сайта, закрытие уведомления или бездействие пользователя не признаются согласием на необязательные аналитические и рекламные технологии.

11. Сроки хранения и уничтожение персональных данных

11.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не предусмотрен законодательством или договором.

11.2. Основаниями для прекращения обработки и уничтожения являются:

· достижение цели обработки;

· истечение установленного срока;

· утрата необходимости в достижении цели;

· отзыв согласия, если отсутствуют иные законные основания;

· требование субъекта о прекращении обработки;

· выявление неправомерной обработки;

· ликвидация Оператора, если документы не подлежат передаче правопреемнику или в архив.

11.3. При достижении цели или отзыве согласия данные уничтожаются в срок, не превышающий 30 дней, если отсутствуют основания для дальнейшего хранения.

11.4. При выявлении неправомерной обработки Оператор прекращает её в срок не более трёх рабочих дней. Если обеспечить правомерность невозможно, данные уничтожаются в срок не более десяти рабочих дней.

11.5. При невозможности уничтожения в установленный срок данные блокируются и уничтожаются не позднее шести месяцев, если иной срок не предусмотрен законом.

11.6. Уничтожение осуществляется:

· для бумажных документов — путём измельчения, сжигания или передачи специализированной организации;

· для электронных данных — путём удаления с невозможностью восстановления штатными средствами;

· для носителей — путём физического уничтожения либо гарантированного стирания информации.

11.7. Уничтожение подтверждается актом, а при автоматизированной обработке — также выгрузкой из журнала регистрации событий информационной системы в случаях, предусмотренных законодательством.

12. Защита персональных данных

12.1. Оператор принимает правовые, организационные и технические меры, включая:

· назначение ответственного за организацию обработки персональных данных;

· принятие локальных актов;

· определение угроз безопасности;

· разграничение прав доступа;

· применение средств аутентификации;

· учёт материальных и электронных носителей;

· резервное копирование;

· антивирусную защиту;

· журналирование событий безопасности;

· контроль действий пользователей информационных систем;

· обучение работников;

· внутренний контроль и аудит;

· заключение соглашений о конфиденциальности;

· оценку вреда, который может быть причинён субъектам;

· восстановление данных, модифицированных или уничтоженных вследствие неправомерного доступа.

12.2. Доступ предоставляется только работникам и иным лицам, которым данные необходимы для выполнения должностных, договорных или законных обязанностей.

12.3. При выявлении неправомерной или случайной передачи, предоставления, распространения или доступа к персональным данным Оператор проводит внутреннее расследование и уведомляет Роскомнадзор:

- в течение 24 часов — о произошедшем инциденте, его предполагаемых причинах, вреде и принятых мерах;
- в течение 72 часов — о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента, при наличии таких сведений.

13. Рассмотрение обращений субъектов

13.1. Запрос должен содержать:

· сведения, позволяющие идентифицировать субъекта;

· сведения, подтверждающие отношения с Оператором либо факт обработки данных;

· описание требования;

· подпись субъекта или его представителя.

Запрос может быть направлен в форме электронного документа и подписан электронной подписью в предусмотренных законом случаях.

13.2. Информация об обработке предоставляется в течение десяти рабочих дней с даты получения обращения или запроса.

13.3. Срок может быть продлён не более чем на пять рабочих дней при условии направления субъекту мотивированного уведомления с указанием причин продления.

13.4. При подтверждении неточности данных Оператор уточняет их в течение семи рабочих дней и снимает блокирование.

13.5. Требование о прекращении обработки исполняется в течение десяти рабочих дней. Этот срок может быть продлён не более чем на пять рабочих дней с направлением мотивированного уведомления.

13.6. Оператор вправе отказать в удовлетворении требования только при наличии законных оснований. Отказ должен быть мотивированным.

14. Заключительные положения

14.1. Политика действует с даты её утверждения.

14.2. Политика размещается в свободном доступе на Сайте, в том числе на страницах, с использованием которых осуществляется сбор персональных данных.

14.3. Оператор вправе актуализировать Политику при изменении законодательства, состава информационных систем, целей и способов обработки.

14.4. Если изменение затрагивает обработку, основанную на согласии, включая цели, состав данных, получателей или используемые рекламные и аналитические технологии, Оператор получает новое согласие, когда это требуется законодательством.

14.5. Молчание субъекта, продолжение использования Сайта или непосещение страницы Политики не признаются согласием на новые цели и условия обработки.

Дата утверждения: «08» сентябрь 2022г.
Редакция: **№ 01**