Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-⁠ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые оператором.

1.2. Оператор персональных данных (далее — Оператор):

• наименование: Индивидуальный предприниматель Осташева Ангелина Алексеевна;
• ИНН: 770704870004;
• ОГРНИП: 321774600552038;
• адрес: 127410, г. Москва, вн. тер. г. муниципальный округ Алтуфьевский, проезд Путевой, д. 6, кв. 1;
• адрес электронной почты для обращений по вопросам персональных данных: GB.IPOst@mail.ru;
• телефон: +7 (977) 810-08-02.

1.3. Политика применяется ко всем персональным данным, которые Оператор получает от посетителей сайта https://spectr-svet.ru и его поддоменов (далее — Сайт), а также от клиентов, их представителей и иных лиц, обращающихся к Оператору по телефону, электронной почте и через мессенджеры, указанные на Сайте.

1.4. Политика опубликована в свободном доступе на Сайте по адресу https://spectr-svet.ru/privacy. Оператор вправе изменять Политику; новая редакция вступает в силу с момента ее размещения на Сайте, если иное не указано в новой редакции.

1.5. Сайт не предназначен для лиц младше 18 лет. Оператор не собирает намеренно персональные данные несовершеннолетних.

2. Основные понятия

В Политике используются понятия в значениях, установленных статьей 3 Закона о персональных данных, в том числе:

• персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц;
• трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу;
• cookie-файлы — небольшие фрагменты данных, которые Сайт сохраняет в браузере посетителя.

3. Принципы обработки

3.1. Оператор обрабатывает персональные данные законно и справедливо, только для конкретных, заранее определенных и законных целей, указанных в разделе 4 Политики.

3.2. Объем обрабатываемых данных соответствует заявленным целям и не является избыточным.

3.3. Оператор не объединяет базы данных, обработка которых осуществляется в несовместимых между собой целях.

3.4. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если более длительный срок не установлен законом или договором, стороной которого является субъект персональных данных.

3.5. Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни) и биометрические персональные данные.

3.6. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки его персональных данных.

4. Цели, категории субъектов, перечень данных, правовые основания и сроки

Цель 1. Обработка заявок с Сайта и подготовка расчета стоимости (сметы) услуг

• Субъекты: посетители Сайта, заполнившие форму «Посчитать смету» или иную форму на Сайте; представители юридических лиц и индивидуальных предпринимателей, направляющие заявку от имени своей организации.
• Данные: имя; номер телефона и (или) имя пользователя (аккаунт) в мессенджере; адрес электронной почты (если указан); сведения о мероприятии, которые субъект сообщает сам (дата, место, формат, количество гостей, технические требования); сведения, содержащиеся в прикрепленных к заявке файлах.
• Действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ) лицам, указанным в разделе 6, блокирование, удаление, уничтожение.
• Способ: смешанная обработка (автоматизированная и без использования средств автоматизации).
• Правовое основание: согласие субъекта персональных данных (пункт 1 части 1 статьи 6 Закона о персональных данных); заключение договора по инициативе субъекта персональных данных (пункт 5 части 1 статьи 6 Закона о персональных данных).
• Срок обработки и хранения: до достижения цели обработки, но не более 1 (одного) года с даты последнего обращения, либо до отзыва согласия, если отзыв получен раньше. Если по заявке заключен договор, данные обрабатываются в рамках цели 3.

Цель 2. Ответы на обращения по телефону, электронной почте и в мессенджерах

• Субъекты: лица, обратившиеся к Оператору по телефону, электронной почте или через мессенджеры (Telegram, MAX), ссылки на которые размещены на Сайте.
• Данные: имя; номер телефона; имя пользователя в мессенджере; адрес электронной почты; содержание переписки и прикрепленных файлов.
• Действия и способ: как в цели 1.
• Правовое основание: согласие субъекта персональных данных, выраженное конклюдентными действиями при самостоятельном обращении (пункт 1 части 1 статьи 6 Закона о персональных данных); заключение договора по инициативе субъекта (пункт 5 части 1 статьи 6).
• Срок: не более 1 (одного) года с даты последнего обращения либо до отзыва согласия.

Цель 3. Заключение и исполнение договоров оказания услуг

• Субъекты: клиенты — физические лица; представители и контактные лица клиентов — юридических лиц и индивидуальных предпринимателей, в том числе заказчиков по Федеральным законам от 05.04.2013 № 44-⁠ФЗ и от 18.07.2011 № 223-⁠ФЗ.
• Данные: фамилия, имя, отчество; номер телефона; адрес электронной почты; должность; данные документа, удостоверяющего личность, и адрес — только если это необходимо для заключения договора с физическим лицом; банковские реквизиты — при оплате по безналичному расчету.
• Правовое основание: исполнение договора, стороной которого является субъект, и заключение договора по его инициативе (пункт 5 части 1 статьи 6 Закона о персональных данных); осуществление прав и законных интересов Оператора и третьих лиц (пункт 7 части 1 статьи 6) — в отношении представителей контрагентов; исполнение обязанностей, возложенных на Оператора законодательством, в том числе о бухгалтерском учете и налогах (пункт 2 части 1 статьи 6).
• Срок: в течение срока действия договора и 5 (пяти) лет после окончания года, в котором договор исполнен, — в части данных, содержащихся в первичных учетных документах (статья 29 Федерального закона от 06.12.2011 № 402-⁠ФЗ «О бухгалтерском учете»), если законом не установлен более длительный срок.

Цель 4. Обеспечение работы Сайта и анализ его использования (если на Сайте подключена Яндекс Метрика)

• Субъекты: посетители Сайта.
• Данные: cookie-файлы; IP-адрес; сведения о браузере, устройстве и операционной системе; дата и время посещения; адреса посещенных страниц и источник перехода; действия на Сайте (переходы, клики, прокрутка); приблизительное местоположение, определяемое по IP-адресу. Данные обрабатываются в агрегированном виде и не используются Оператором для установления личности посетителя.
• Правовое основание: согласие субъекта персональных данных (пункт 1 части 1 статьи 6 Закона о персональных данных). Технические (обязательные) cookie-файлы, без которых Сайт не может работать, используются на основании пункта 7 части 1 статьи 6 Закона о персональных данных.
• Срок: до отзыва согласия.

5. Порядок и условия обработки

5.1. Персональные данные из форм на Сайте поступают в базу данных платформы Tilda, размещенную на серверах на территории Российской Федерации, и в каналы получения уведомлений о заявках, указанные в пункте 6.1.

5.2. При сборе персональных данных, в том числе посредством сети Интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о персональных данных).

5.3. Оператор и иные лица, получившие доступ к персональным данным, не раскрывают их третьим лицам и не распространяют без согласия субъекта, если иное не предусмотрено федеральным законом.

5.4. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (поручения). Лицо, осуществляющее обработку по поручению Оператора, обязано соблюдать принципы и правила обработки, предусмотренные Законом о персональных данных, и обеспечивать конфиденциальность и безопасность данных.

5.5. Персональные данные предоставляются органам государственной власти только в случаях и порядке, установленных законодательством Российской Федерации.

5.6. Если субъект прикладывает к заявке файлы, содержащие персональные данные третьих лиц, он подтверждает, что вправе передать такие данные Оператору. Оператор использует такие сведения только для расчета и оказания услуг.

6. Лица, которым поручается обработка или предоставляются данные

6.1. Для достижения целей обработки Оператор поручает обработку или предоставляет доступ следующим лицам:

• владелец платформы конструктора сайтов Tilda (tilda.cc) — хостинг Сайта, прием и хранение данных из форм (серверы на территории Российской Федерации);
• ООО «ЯНДЕКС» (ИНН 7736207543, 119021, г. Москва, ул. Льва Толстого, д. 16) — сервис веб-аналитики Яндекс Метрика (если подключен);
• оператор мессенджера MAX — получение уведомлений о заявках и переписка с клиентами.

6.2. Оператор осуществляет трансграничную передачу персональных данных, указанных в цели 1, в целях оперативного получения уведомлений о заявках:

• Telegram Messenger Inc. / Telegram FZ-LLC (Объединенные Арабские Эмираты) — мессенджер Telegram;
• Google LLC (Соединенные Штаты Америки) — почтовый сервис Gmail.

Трансграничная передача осуществляется после направления уведомления в Роскомнадзор в соответствии со статьей 12 Закона о персональных данных и только после первичной записи данных в базу данных на территории Российской Федерации.

7. Права субъекта персональных данных

7.1. Субъект персональных данных вправе:

• получить сведения, касающиеся обработки его персональных данных, в объеме, предусмотренном частью 7 статьи 14 Закона о персональных данных;
• требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзор (уполномоченный орган по защите прав субъектов персональных данных) или в судебном порядке;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

7.2. Запрос или отзыв согласия направляется Оператору:

• в письменной форме по адресу: 127410, г. Москва, вн. тер. г. муниципальный округ Алтуфьевский, проезд Путевой, д. 6, кв. 1;
• в форме электронного документа на адрес электронной почты: GB.IPOst@mail.ru.

Запрос должен содержать сведения, позволяющие идентифицировать субъекта (например, имя и номер телефона, указанные в заявке), сведения, подтверждающие участие субъекта в отношениях с Оператором (например, дату заявки), и подпись субъекта или его представителя (для электронного документа — в соответствии с законодательством об электронной подписи), как это предусмотрено частью 3 статьи 14 Закона о персональных данных.

8. Обязанности Оператора и сроки ответа

8.1. Оператор предоставляет субъекту сведения об обработке его персональных данных в течение 10 (десяти) рабочих дней с даты получения запроса. Срок может быть продлен не более чем на 5 (пять) рабочих дней при направлении субъекту мотивированного уведомления.

8.2. При подтверждении факта неточности персональных данных Оператор уточняет их в течение 7 (семи) рабочих дней со дня представления соответствующих сведений.

8.3. При выявлении неправомерной обработки Оператор прекращает ее в срок, не превышающий 3 (трех) рабочих дней, а если обеспечить правомерность невозможно — уничтожает такие данные в срок, не превышающий 10 (десяти) рабочих дней с даты выявления.

8.4. При отзыве согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, если иное не предусмотрено договором, стороной которого является субъект, или если Оператор не вправе продолжить обработку без согласия по основаниям, предусмотренным Законом о персональных данных (например, для исполнения договора или требований законодательства о бухгалтерском учете).

8.5. При достижении целей обработки Оператор уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты достижения цели. Уничтожение подтверждается в порядке, установленном уполномоченным органом.

8.6. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 (двадцати четырех) часов и о результатах внутреннего расследования — в течение 72 (семидесяти двух) часов в соответствии с частью 3.1 статьи 21 Закона о персональных данных.

9. Меры по обеспечению безопасности персональных данных

Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о персональных данных, в том числе:

• назначает лицо, ответственное за организацию обработки персональных данных: Осташева Ангелина Алексеевна;
• издает локальные акты по вопросам обработки персональных данных и знакомит с ними работников, допущенных к обработке;
• проводит оценку вреда, который может быть причинен субъектам персональных данных, в соответствии с требованиями, утвержденными Роскомнадзором;
• ограничивает круг лиц, имеющих доступ к персональным данным, и использует индивидуальные учетные записи с паролями и двухфакторной аутентификацией для доступа к панели управления Сайтом и каналам получения заявок;
• использует защищенное соединение (протокол HTTPS) при передаче данных с Сайта;
• осуществляет внутренний контроль соответствия обработки персональных данных Закону о персональных данных и принятым в соответствии с ним нормативным актам.

10. Cookie-файлы

10.1. Сайт использует технические cookie-файлы, необходимые для его работы и защиты от атак. Такие cookie-файлы не могут быть отключены.

10.2. Аналитические cookie-файлы (Яндекс Метрика) используются только с согласия посетителя. Посетитель может в любой момент удалить cookie-файлы или запретить их сохранение в настройках браузера.

11. Заключительные положения

11.1. Вопросы, не урегулированные Политикой, регулируются законодательством Российской Федерации.

11.2. Контакты для вопросов об обработке персональных данных: GB.IPOst@mail.ru, 127410, г. Москва, вн. тер. г. муниципальный округ Алтуфьевский, проезд Путевой, д. 6, кв. 1.

Согласие на обработку персональных данных: https://spectr-svet.ru/soglasie.