Политика конфиденциальности

1. Общие положения и термины

Настоящая Политика обработки персональных данных (далее — «Политика») разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ), Постановления Правительства РФ от 21.03.2012 № 211 и иных нормативных правовых актов Российской Федерации в области защиты персональных данных.

Политика определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые Оператором, а также действует в отношении всей информации, которую Оператор может получить о субъектах персональных данных в связи с функционированием сайта https://intehst.ru/.

Использование сайта означает безоговорочное согласие пользователя с настоящей Политикой и условиями обработки его персональных данных. В случае несогласия с условиями Политики пользователь должен воздержаться от использования сайта.

1.1. Термины и определения

Персональные данные (ПДн)

любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных) — статья 3 пункт 1 152-ФЗ.

Оператор

государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными — статья 3 пункт 2 152-ФЗ. В контексте настоящей Политики Оператором является ООО "ИНТЕХСТ".

Субъект персональных данных

физическое лицо, к которому относятся персональные данные.

Обработка персональных данных

любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление, уничтожение — статья 3 пункт 3 152-ФЗ.

Распространение персональных данных

действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Трансграничная передача

передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных

действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2. Цели обработки персональных данных

Оператор обрабатывает персональные данные субъектов в следующих целях:

• Связь с пользователями по их обращениям, направленным через формы сайта (запросы информации, заявки, отзывы, жалобы)
• Заключение, исполнение и расторжение договоров оказания услуг или поставки товаров
• Информирование пользователей об услугах, акциях, новостях Оператора и иной информации, представляющей для них интерес (при наличии отдельного согласия на рекламные коммуникации)
• Анализ посещаемости сайта и улучшение пользовательского опыта (веб-аналитика)
• Обеспечение безопасности сайта, предотвращение и расследование инцидентов
• Исполнение обязательств, предусмотренных законодательством Российской Федерации, в том числе ведение бухгалтерского и налогового учёта
• Защита прав и законных интересов Оператора, в том числе при рассмотрении споров

Обработка персональных данных в иных целях, помимо указанных выше, осуществляется только с предварительного информирования субъекта и получения его согласия.

3. Правовые основания обработки

Обработка персональных данных Оператором осуществляется на следующих правовых основаниях:

• Согласие субъекта персональных данных (пункт 1 части 1 статьи 6 152-ФЗ) — для приёма обращений, рассылок, маркетинговых коммуникаций. Согласие выражается активным действием субъекта (отметка чекбокса согласия в формах сайта, заполнение и направление формы).
• Исполнение договора, стороной которого является субъект персональных данных, или для принятия мер по заявлению субъекта до заключения договора (пункт 5 части 1 статьи 6 152-ФЗ) — для оформления и исполнения договорных обязательств.
• Достижение целей, предусмотренных международным договором Российской Федерации или законом (пункт 2 части 1 статьи 6 152-ФЗ) — для исполнения обязанностей по налоговому, бухгалтерскому, валютному и иному учёту, предусмотренному законодательством РФ.
• Законные интересы Оператора или третьих лиц (пункт 7 части 1 статьи 6 152-ФЗ) — при условии, что такие интересы не превалируют над правами субъекта (защита информационной безопасности, противодействие мошенничеству).

4. Категории субъектов персональных данных

Оператор обрабатывает персональные данные следующих категорий субъектов:

• Пользователи сайта (посетители, оставляющие заявки и обращения)
• Подписчики на информационные сообщения

Оператор не обрабатывает персональные данные несовершеннолетних младше 14 лет без согласия их законных представителей (см. раздел 13 настоящей Политики).

5. Категории обрабатываемых персональных данных

В зависимости от формы взаимодействия субъекта с сайтом Оператор обрабатывает следующие категории персональных данных:

• фамилия, имя, отчество
• адрес электронной почты
• контактный номер телефона
• идентификаторы пользователя на сайте (cookie, идентификатор сессии, IP-адрес)

5.1. Специальные категории и биометрические ПДн

Специальные категории персональных данных (раса, национальность, политические взгляды, религиозные или философские убеждения, состояние здоровья, интимная жизнь — статья 10 152-ФЗ) и биометрические персональные данные (статья 11 152-ФЗ) Оператором не обрабатываются. В случае необходимости такой обработки Оператор предварительно получает письменное согласие субъекта.

5.2. Объём обработки

Оператор обрабатывает только тот минимум персональных данных, который необходим для достижения целей, указанных в разделе 2 Политики. Предоставление избыточных или неактуальных данных не запрашивается.

6. Способы и сроки обработки

Обработка персональных данных Оператором осуществляется:

• С использованием средств автоматизации — через сайт, информационные системы Оператора, программные продукты для CRM, бухгалтерии, рассылок
• Без использования средств автоматизации — при заполнении бумажных документов, ведении журналов учёта

Хранение персональных данных осуществляется на серверах, расположенных на территории Российской Федерации, в соответствии с требованиями части 5 статьи 18 152-ФЗ.

6.1. Сроки обработки

Сроки обработки персональных данных определяются с учётом следующих критериев:

• До достижения целей обработки — основной критерий. По достижении целей данные подлежат удалению или обезличиванию.
• До отзыва согласия — для данных, обрабатываемых на основании согласия субъекта.
• Срок, установленный законодательством РФ:
  • Для целей бухгалтерского учёта — 5 лет с даты соответствующего события (Федеральный закон № 402-ФЗ «О бухгалтерском учёте»)
  • Для целей налогового учёта — 4 года (статья 23 Налогового кодекса РФ)
  • Для целей рассмотрения возможных споров — 3 года (статья 196 Гражданского кодекса РФ)

Удаление или обезличивание персональных данных производится в течение 30 дней с момента достижения цели обработки или отзыва согласия (если обработка не продолжается на ином правовом основании).

7. Использование cookie и аналогичных технологий

На сайте используются cookie-файлы и аналогичные технологии, в том числе системы веб-аналитики (Яндекс.Метрика и/или иные российские сервисы), функционирующие на серверах, расположенных в Российской Федерации.

7.1. Типы используемых cookie

• Необходимые (technical) — обеспечивают базовую работу сайта (сохранение сессии, языка интерфейса, корзины). Без них сайт не может функционировать. Не требуют согласия.
• Аналитические (analytics) — собирают обезличенную статистику о посещениях сайта (количество визитов, источники трафика, поведение на сайте) для улучшения пользовательского опыта. Загружаются только после получения согласия пользователя.
• Маркетинговые (marketing) — используются для показа релевантной рекламы и измерения эффективности рекламных кампаний. Загружаются только после явного согласия пользователя.

7.2. Управление cookie

При первом посещении сайта пользователю отображается информационный баннер о cookie с возможностью принять или отклонить их использование. Решение пользователя сохраняется в локальном хранилище браузера. Пользователь может в любое время изменить свой выбор:

• Через настройки cookie на самом сайте (ссылка в подвале «Настройки cookie»)
• Через настройки своего браузера (удаление cookie)

Отклонение cookie может ограничить функциональность некоторых разделов сайта, но не препятствует основному использованию.

8. Поручение обработки персональных данных третьим лицам

В соответствии с частью 3 статьи 6 152-ФЗ Оператор вправе поручать обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (поручения оператора).

На дату редакции Политики Оператор привлекает следующих лиц для обработки персональных данных:

• Я.Метрика (поручение в РФ) — веб-аналитика и оптимизация работы сайта. Серверы расположены на территории Российской Федерации.

Все лица, которым Оператор передаёт персональные данные на основании поручения, обязаны соблюдать принципы и правила обработки персональных данных, установленные 152-ФЗ, и обеспечивать конфиденциальность и безопасность персональных данных. В договоре поручения предусмотрены меры ответственности привлекаемого лица за нарушение требований по обработке персональных данных.

Помимо обработчиков по поручению, Оператор передаёт персональные данные третьим лицам в следующих случаях:

• По требованию органов государственной власти Российской Федерации в порядке, предусмотренном законодательством
• В рамках исполнения договоров, стороной которых является субъект ПДн (например, при доставке товаров — курьерским службам)
• При защите прав и законных интересов Оператора в досудебном или судебном порядке

9. Трансграничная передача персональных данных

Трансграничная передача персональных данных осуществляется в страны, обеспечивающие адекватную защиту прав субъектов персональных данных, либо с письменного согласия субъекта (статья 12 152-ФЗ).

На момент редакции Политики Оператор осуществляет передачу персональных данных следующим иностранным получателям:

• Google reCAPTCHA (передача в Google) — предоставление функциональности сайта (формы, видео и т.п.). Серверы расположены за пределами Российской Федерации, в связи с чем осуществляется трансграничная передача персональных данных в порядке статьи 12 152-ФЗ.

До начала такой передачи Оператор уведомляет Роскомнадзор и получает соответствующее согласие субъектов персональных данных.

10. Меры защиты персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий — в соответствии со статьями 18.1 и 19 152-ФЗ и Постановлением Правительства РФ от 01.11.2012 № 1119.

10.1. Правовые меры

• Разработка и утверждение настоящей Политики и иных локальных актов Оператора по вопросам обработки персональных данных
• Назначение лица, ответственного за организацию обработки персональных данных (статья 22.1 152-ФЗ): Руководитель организации
• Уведомление уполномоченного органа (Роскомнадзора) об обработке персональных данных в порядке статьи 22 152-ФЗ

10.2. Организационные меры

• Ознакомление сотрудников Оператора, осуществляющих обработку персональных данных, с положениями законодательства о персональных данных и настоящей Политикой
• Разграничение прав доступа сотрудников к персональным данным на основании выполняемых ими обязанностей
• Установление режима конфиденциальности персональных данных, в том числе обязанности сотрудников не разглашать персональные данные
• Учёт машинных носителей персональных данных
• Регулярная проверка соблюдения требований по защите персональных данных

10.3. Технические меры

• Использование защищённого протокола HTTPS (TLS) при передаче персональных данных через сайт
• Хранение баз данных персональных данных на серверах, расположенных на территории Российской Федерации
• Парольная защита учётных записей сотрудников с регулярной сменой паролей (не реже 1 раза в 90 дней)
• Регулярное резервное копирование персональных данных с использованием шифрования
• Применение антивирусной защиты на серверах и рабочих местах сотрудников, обрабатывающих ПДн
• Ведение журналов учёта операций с персональными данными (логирование доступа и изменений)
• Своевременное обновление программного обеспечения, устранение известных уязвимостей

11. Права субъектов персональных данных

В соответствии со статьями 14, 20, 21 152-ФЗ субъект персональных данных вправе:

• Получать от Оператора информацию, касающуюся обработки его персональных данных: подтверждение факта обработки, цели, правовые основания, обрабатываемые данные, источник получения, сроки обработки, лиц, которым раскрывались данные
• Требовать от Оператора уточнения, блокирования или уничтожения своих персональных данных в случае их неполноты, устаревания, неточности, незаконного получения или ненужности для целей обработки
• Отозвать своё согласие на обработку персональных данных в любой момент
• Требовать прекращения обработки персональных данных в целях продвижения товаров и услуг на рынке (отказ от маркетинговых коммуникаций)
• Возражать против решений, принимаемых на основании автоматизированной обработки своих персональных данных (если такие решения применяются)
• Обжаловать действия или бездействие Оператора, не соответствующие закону, в уполномоченном органе по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке
• Требовать защиты своих прав, в том числе компенсации морального вреда

12. Порядок отзыва согласия и направления обращений

Для реализации своих прав, включая отзыв согласия на обработку персональных данных, субъект персональных данных может направить обращение Оператору следующими способами:

• По электронной почте: info@intehst.ru
• По почтовому адресу: не указан

В обращении должны быть указаны:

• Фамилия, имя, отчество субъекта персональных данных или его представителя
• Сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата подачи заявки и т.п.), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором
• Конкретное требование (например, «отозвать согласие на обработку», «уточнить данные», «удалить данные»)
• Подпись субъекта (при направлении по почте) или его представителя

Оператор обязан в течение 10 рабочих дней с момента получения обращения предоставить субъекту ответ в письменной форме или совершить требуемые действия. В случае отказа в удовлетворении требования Оператор обязан мотивировать отказ со ссылкой на положения закона.

После отзыва согласия Оператор прекращает обработку персональных данных в течение 30 дней, за исключением случаев, когда обработка может продолжаться на ином правовом основании (например, для исполнения договора или законных требований).

13. Обработка персональных данных несовершеннолетних

В соответствии с пунктом 4 статьи 9 152-ФЗ обработка персональных данных несовершеннолетних осуществляется с согласия одного из родителей или иного законного представителя.

Оператор не осуществляет преднамеренный сбор персональных данных несовершеннолетних младше 14 лет. Если родитель или законный представитель установит, что несовершеннолетний предоставил Оператору свои персональные данные, он может обратиться к Оператору по контактам, указанным в разделе 12, с требованием удалить эти данные. Оператор удалит соответствующие данные в течение 30 дней.

Несовершеннолетние от 14 до 18 лет вправе самостоятельно давать согласие на обработку своих персональных данных в соответствии со статьёй 26 Гражданского кодекса РФ, за исключением случаев, когда такое согласие требует обязательного письменного одобрения родителя.

14. Автоматизированное принятие решений

В соответствии со статьёй 16 152-ФЗ Оператор информирует субъектов персональных данных о случаях принятия решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных.

На дату редакции настоящей Политики Оператор не использует автоматизированные системы принятия решений, порождающие юридические последствия для субъектов персональных данных, в том числе системы скоринга, машинного обучения или искусственного интеллекта при оценке кредитоспособности, заключения договоров или принятия решений о трудоустройстве.

При появлении такой обработки Оператор обязуется:

• Уведомить субъекта об осуществлении автоматизированной обработки
• Разъяснить порядок принятия решения
• Обеспечить право субъекта возражать против такого решения и требовать его пересмотра с участием человека

15. Действия при инцидентах с персональными данными

В случае выявления Оператором инцидента с персональными данными (несанкционированного доступа, утечки, утраты, изменения, блокирования, уничтожения), приведшего к нарушению прав субъектов персональных данных, Оператор обязуется:

1. В течение 24 часов с момента выявления инцидента — направить уведомление в Роскомнадзор о начале расследования (статья 21 152-ФЗ)
2. В течение 72 часов с момента выявления — направить уведомление с результатами внутреннего расследования и принятыми мерами
3. Незамедлительно уведомить субъектов персональных данных, в отношении которых произошёл инцидент (при наличии возможности их идентификации)
4. Принять меры по локализации последствий инцидента, восстановлению нарушенных прав субъектов, предотвращению повторных инцидентов
5. Сохранить документы и иные материалы, связанные с инцидентом, для целей последующих проверок

Оператор ведёт реестр инцидентов с персональными данными в соответствии с требованиями ПП РФ № 1119.

16. Изменения настоящей Политики

Оператор вправе вносить изменения в настоящую Политику. Изменения вступают в силу с момента их опубликования на сайте https://intehst.ru/, если иной срок не предусмотрен непосредственно в редакции Политики.

Существенные изменения Политики, затрагивающие права и обязанности субъектов персональных данных (например, изменение целей обработки, расширение состава обрабатываемых данных, изменение перечня третьих лиц, которым передаются данные), Оператор доводит до сведения субъектов одним из следующих способов:

• Информационным баннером на сайте https://intehst.ru/ при первом посещении после внесения изменений
• Email-рассылкой по адресам, указанным субъектами при предоставлении согласия (при наличии такого согласия на коммуникации)

В случае несогласия субъекта с новой редакцией Политики он вправе отозвать своё согласие на обработку персональных данных в порядке, описанном в разделе 12.

17. Заключительные положения

Настоящая Политика является общедоступным документом и размещена на сайте Оператора по постоянному адресу. К Политике обеспечен неограниченный доступ.

В случае противоречия между настоящей Политикой и требованиями 152-ФЗ или иных нормативных правовых актов Российской Федерации в области защиты персональных данных применяются нормы действующего законодательства.

Все споры, возникающие в связи с обработкой персональных данных, разрешаются Оператором и субъектом персональных данных путём переговоров. При недостижении соглашения спор подлежит рассмотрению в порядке, предусмотренном законодательством Российской Федерации.

Настоящая Политика вступает в силу с момента её опубликования на сайте https://intehst.ru/.