Настоящие Правила — документ, определяющий политику Общества с ограниченной ответственностью «КАРУС» в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных. Документ опубликован во исполнение части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и доступен с любой страницы сайта redround.ru.
Как устроен комплект документов: настоящие Правила описывают порядок обработки целиком и имеют преимущество при расхождениях; Политика конфиденциальности объясняет то же самое простым языком применительно к посетителю сайта; Согласие на обработку персональных данных — текст, которым субъект выражает свою волю.
1. Основные понятия
Понятия «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «обезличивание», «уничтожение», «блокирование», «трансграничная передача» используются в значениях, определённых статьёй 3 Федерального закона № 152-ФЗ.
Оператор — Общество с ограниченной ответственностью «КАРУС», ИНН 7842148402, ОГРН 1187847053030, адрес: 191024, г. Санкт-Петербург, ул. Мира, д. 3, офис 203, адрес электронной почты: hello@redround.ru.
Сайт — совокупность страниц, размещённых по адресу redround.ru, включая поддомены и демонстрационные разделы.
2. Принципы обработки
Оператор обрабатывает персональные данные в соответствии с принципами статьи 5 Федерального закона № 152-ФЗ:
- обработка ведётся на законной и справедливой основе;
- обработка ограничивается достижением конкретных, заранее определённых и законных целей; обработка, несовместимая с этими целями, не допускается;
- не допускается объединение баз данных, содержащих персональные данные, обработка которых ведётся в несовместимых между собой целях;
- обрабатываются только те данные, которые отвечают целям обработки; их содержание и объём не являются избыточными;
- обеспечиваются точность и достаточность данных, а при необходимости — их актуальность; неполные и неточные данные уточняются или удаляются;
- данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки; по достижении целей данные уничтожаются.
3. Категории субъектов и обрабатываемых данных
Посетители Сайта, оставившие обращение через форму: фамилия и имя в объёме, который субъект указал сам; номер телефона; адрес электронной почты; текст обращения и ответы на вопросы формы.
Посетители Сайта, не оставлявшие обращения: IP-адрес; сведения о браузере, устройстве и операционной системе; дата и время обращения к Сайту; адреса открытых и предшествующих страниц; параметры рекламной кампании в адресе страницы; идентификаторы сервисов веб-аналитики и рекламы; данные файлов cookie.
Представители контрагентов и лица, состоящие с Оператором в договорных отношениях: фамилия, имя, отчество; должность; рабочие контактные данные; сведения, необходимые для заключения и исполнения договора.
Оператор не обрабатывает специальные категории персональных данных (статья 10 Федерального закона № 152-ФЗ), биометрические персональные данные (статья 11), а также персональные данные несовершеннолетних. Сайт не предназначен для лиц младше 18 лет.
4. Цели обработки
- рассмотрение обращения, поступившего через Сайт, и обратная связь по нему;
- подготовка и направление субъекту коммерческого предложения, сметы или расчёта;
- заключение, исполнение, изменение и прекращение договора, стороной которого является субъект;
- учёт обращений и сохранение истории взаимодействия;
- обеспечение работоспособности и безопасности Сайта, включая защиту форм от автоматических отправок;
- анализ посещаемости и качества работы Сайта, оценка результативности рекламных кампаний;
- исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации.
5. Правовые основания
- Согласие субъекта — пункт 1 части 1 статьи 6 Федерального закона № 152-ФЗ. Применяется к данным, полученным через формы Сайта, и к данным, собранным средствами веб-аналитики.
- Исполнение договора, стороной либо выгодоприобретателем по которому является субъект, — пункт 5 части 1 статьи 6.
- Исполнение обязанностей, возложенных на Оператора законодательством, — пункт 2 части 1 статьи 6 (в том числе законодательством о бухгалтерском учёте и налогах).
- Учредительные документы и локальные акты Оператора, устав Общества, договоры с контрагентами.
6. Перечень действий и способы обработки
Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
Способы обработки: смешанная обработка — с использованием средств автоматизации и без их использования, — с передачей и без передачи по информационно-телекоммуникационным сетям.
Решения, порождающие юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки персональных данных, Оператором не принимаются (статья 16 Федерального закона № 152-ФЗ).
Распространение персональных данных, то есть раскрытие их неопределённому кругу лиц, Оператор не осуществляет.
7. Порядок и условия обработки
Данные из форм Сайта записываются в базу данных Сайта в момент отправки формы, а также направляются на адрес электронной почты Оператора и в систему учёта обращений. Данные, собираемые автоматически, записываются в момент обращения к странице.
Оператор вправе поручить обработку персональных данных другому лицу на основании договора в порядке части 3 статьи 6 Федерального закона № 152-ФЗ. Лица, привлечённые Оператором, и объём передаваемых им данных перечислены в Политике конфиденциальности. Такие лица обязаны соблюдать принципы и правила обработки, предусмотренные Федеральным законом № 152-ФЗ, и обеспечивать конфиденциальность и безопасность данных. Ответственность перед субъектом за действия привлечённых лиц несёт Оператор.
8. Место обработки и трансграничная передача
Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации, как того требует часть 5 статьи 18 Федерального закона № 152-ФЗ.
Технические средства Сайта, включая базу данных с содержимым обращений, размещены на сервере хостинг-провайдера в дата-центре на территории Российской Федерации. Привлечённые Оператором сервисы веб-аналитики, защиты форм, электронной почты и учёта обращений являются российскими и обрабатывают данные на территории Российской Федерации.
Трансграничная передача персональных данных Оператором не осуществляется. Если такая передача станет необходимой, Оператор осуществит её с соблюдением статьи 12 Федерального закона № 152-ФЗ, включая предварительное уведомление уполномоченного органа по защите прав субъектов персональных данных.
9. Сведения о реализуемых требованиях к защите
Настоящий раздел публикуется во исполнение части 2 статьи 18.1 Федерального закона № 152-ФЗ. Оператор принимает меры, предусмотренные частью 1 статьи 18.1 и частью 2 статьи 19.
Организационные меры
- издан документ, определяющий политику в отношении обработки персональных данных, — настоящие Правила; документ опубликован в открытом доступе и доступен с любой страницы Сайта;
- определён круг лиц, имеющих доступ к персональным данным; доступ предоставляется в объёме, необходимом для выполнения обязанностей;
- обработка обращений ведётся в системе учёта с разграничением прав доступа;
- перечень привлечённых лиц и объём передаваемых им данных зафиксированы в Политике конфиденциальности и поддерживаются в актуальном состоянии.
Технические меры
- обмен данными между браузером посетителя и Сайтом ведётся только по защищённому протоколу HTTPS; обращения по незащищённому протоколу перенаправляются на защищённый;
- доступ в панель управления Сайтом закрыт дополнительной проверкой на уровне веб-сервера и защищён автоматической блокировкой при переборе паролей;
- формы Сайта защищены сервисом проверки, отсекающим автоматические отправки;
- служебные файлы, конфигурации и резервные копии закрыты от обращения извне; исполнение программного кода из каталогов загруженных файлов запрещено;
- выполняется ежесуточное резервное копирование базы данных; резервные копии хранятся на том же сервере в Российской Федерации, доступ к ним имеет только Оператор;
- ведётся журналирование обращений к Сайту и попыток несанкционированного доступа;
- программное обеспечение Сайта и сервера поддерживается в актуальном состоянии.
10. Сроки обработки и порядок уничтожения
Данные обрабатываются до достижения цели обработки либо до отзыва согласия, если иной срок не установлен законом или договором.
- сведения из обращений, поступивших через Сайт, — 3 года с даты последнего взаимодействия с субъектом;
- данные, связанные с исполненным договором, — в течение срока хранения соответствующих документов, установленного законодательством о бухгалтерском учёте и архивном деле;
- данные, собираемые автоматически, — в пределах сроков хранения файлов cookie и журналов, указанных в Политике конфиденциальности;
- сессии и файлы, загруженные в демонстрационный раздел Сайта, — не более 1 суток.
По достижении цели обработки, при отзыве согласия, при выявлении неправомерной обработки, а также по требованию субъекта или уполномоченного органа данные подлежат уничтожению. Срок уничтожения — не более 30 дней с даты наступления соответствующего основания, если иной срок не предусмотрен законом (части 3–5 статьи 21 Федерального закона № 152-ФЗ).
Уничтожение производится способом, исключающим восстановление: запись удаляется из базы данных Сайта вместе со всеми связанными сведениями, а также из системы учёта обращений. Удаление устаревших обращений выполняется автоматически по расписанию с ежесуточной проверкой. Факт уничтожения фиксируется в порядке, установленном локальными актами Оператора.
11. Права субъекта и порядок их реализации
Субъект имеет права, предусмотренные статьями 14–17 Федерального закона № 152-ФЗ, в том числе право на получение сведений об обработке, на уточнение, блокирование и уничтожение данных, на отзыв согласия и на обжалование действий Оператора.
Запрос направляется на hello@redround.ru или по почтовому адресу Оператора. В соответствии с частью 3 статьи 14 Федерального закона № 152-ФЗ запрос должен содержать:
- номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
- сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата обращения, номер телефона, с которого отправлена заявка, либо иные сведения), либо сведения, иным образом подтверждающие факт обработки данных Оператором;
- подпись субъекта или его представителя. Запрос может быть направлен в электронной форме и подписан электронной подписью в соответствии с законодательством Российской Федерации.
Срок ответа на запрос — 10 рабочих дней с даты его получения. Срок может быть продлён, но не более чем на 5 рабочих дней, с направлением субъекту мотивированного уведомления о продлении.
Срок рассмотрения отзыва согласия и уничтожения данных — не более 30 дней.
Оператор вправе отказать в предоставлении сведений в случаях, прямо перечисленных в части 8 статьи 14 Федерального закона № 152-ФЗ; отказ должен быть мотивированным.
12. Обращения по вопросам обработки
Обращения по вопросам обработки персональных данных, включая запросы по статье 14 Федерального закона № 152-ФЗ и отзыв согласия, направляются на адрес hello@redround.ru с пометкой «Персональные данные» либо по почтовому адресу Оператора, указанному в разделе 1.
13. Изменение Правил
Оператор вправе вносить изменения в настоящие Правила. Действующая редакция размещается по этому адресу; дата редакции указана в начале страницы. Правила пересматриваются при изменении законодательства, при появлении новых целей обработки или новых привлечённых лиц, но не реже одного раза в год.