Политика конфиденциальности

ПОЛИТИКА в отношении обработки и защиты персональных данных Оператор: ООО «Свой Интерьер», ИНН 7743927750, ОГРН 1147746603410 Адрес: 125315, г. Москва, Ленинградский пр-кт, д. 80Б, корп. 3, помещ. 12/Т Контакт для обращений по персональным данным: sergeykonkovv@gmail.com Сайт (платформа): https://oporabusiness-kontent.ru Настоящая Политика действует в отношении всех персональных данных, обрабатываемых Оператором, в том числе на платформе автоматизации контента (далее — Платформа). КАКИЕ ДАННЫЕ ОБРАБАТЫВАЕТ ПЛАТФОРМА — данные, предоставленные пользователем при регистрации и работе: имя, адрес электронной почты, пароль (хранится в необратимо зашифрованном виде), наименование и данные представляемой организации; — данные заявок и обращений: имя, телефон, аккаунт в мессенджере, содержание обращения; — технические данные: IP-адрес, сведения об устройстве и браузере, cookie-файлы, данные систем аналитики. Обработка ведётся на территории Российской Федерации. Доступы к аккаунтам third-party площадок, сохраняемые пользователем в «Сейфе доступов», хранятся в зашифрованном виде (AES-256). Далее приводится полный текст Политики Общества. Утверждена приказом Генерального директора ООО «Свой Интерьер» от «____» __________ 2025 года № _____________ ПОЛИТИКА в отношении обработки и защиты персональных данных ООО «Свой Интерьер» г. Москва, 2025 СОДЕРЖАНИЕ Общие положения…………………………………………………………...…………….. 3 Термины и определения……………………………………………………….…………. 3 Общие принципы обработки Персональных данных……………….……………….4 Цели обработки Персональных данных……………………………………………….. 5 Способы и условия обработки Персональных данных……………………………… 5 Права субъектов Персональных данных ……………………………………..………. 6 Права и обязанности Общества при обработке Персональных данных ………… 7 Требования к защите Персональных данных, реализуемые в Обществе……….. 9 Правила обработки cookie-файлов………………………………………………….… 10 Заключительные положения………………………….………………………………. 11 1. ОБЩИЕ ПОЛОЖЕНИЯ Политика ООО «Свой Интерьер» (далее – Общество) в области обработки и защиты персональных данных разработана в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «Федеральный закон»). Настоящая Политика определяет основные принципы, цели, способы и условия обработки персональных данных, перечни их субъектов, права и обязанности Общества при обработке персональных данных, права и обязанности субъектов персональных данных, а также реализуемые в Обществе требования и меры к защите персональных данных. 2. ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. В контексте настоящей Политики Оператором выступает ООО «Свой Интерьер» (далее – Общество, Оператор). Обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение. Автоматизированная обработка персональных данных - обработка персональных данных с помощью средств вычислительной техники. Защита персональных данных - комплекс мероприятий технического, организационного и организационно-технического характера, направленных на обеспечение безопасности персональных данных и защиту сведений, относящихся к определенному или определяемому на основании такой информации субъекту персональных данных. Информационная система персональных данных - (далее – «ИСПДн») информационная система, представляющая собой совокупность персональных данных, содержащихся в базе данных, а также информационных технологий и технических средств, позволяющих осуществить обработку таких данных с использованием средств автоматизации или без использования таких средств. Конфиденциальность персональных данных - обязательное для выполнения оператором или иным лицом, получившим доступ к персональным данным, требование не допускать раскрытия персональных данных третьим лицам, и их распространение без согласия субъекта персональных данных или наличия иного законного основания. Персональные данные - любая информация, относящаяся к определенному или определяемому на основании такой информации физическому лицу (субъекту персональных данных), в том числе его фамилия, имя, отчество, год, месяц, дата и место рождения, адрес, семейное, социальное, имущественное положение, образование, профессия, доходы, другая информация (далее – ПДн). Персональные данные, разрешенные субъектом персональных данных для распространения, - персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путем дачи согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения в порядке, предусмотренном Федеральным законом. Распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц. Предоставление персональных данных - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц. Блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных) Уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в ИСПДн и (или) в результате которых уничтожаются материальных носители персональных данных. Обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту. Сотрудник - лицо, состоящее в трудовых отношениях с Обществом. Субъект персональных данных - физическое лицо, персональные данные которого обрабатываются Обществом в соответствии с положениями действующих нормативных правовых актов Российской Федерации и внутренних документов Общества. Контрагенты - физические лица и индивидуальные предприниматели, состоящие в договорных отношениях с Обществом, представители юридических лиц, состоящих в договорных отношениях с Обществом. Трансграничная передача персональных данных - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу. Специальная категория персональных данных - персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, а также сведения о судимости. 3. ОБЩИЕ ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ 3.1. Обработка ПДн в Обществе осуществляется с учетом необходимости обеспечения защиты прав и свобод сотрудников Общества, Контрагентов Общества и других субъектов ПДн, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайну, на основе следующих принципов: 3.1.1. Обработка ПДн осуществляется в Обществе на законной и справедливой основе. 3.1.2. Обработке подлежат только ПДн, которые отвечают конкретным, заранее определенным и законным целям их обработки. Не допускается обработка персональных данных, несовместимая с целями сбора ПДн. 3.1.3. Не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой. 3.1.4. Обработке подлежат только ПДн, которые отвечают целям их обработки. 3.1.5. Содержание и объем обрабатываемых ПДн определяются Обществом таким образом, чтобы они соответствовали заявленным целям обработки. Обрабатываемые ПДн не должны быть избыточными по отношению к заявленным целям их обработки. 3.1.6. При обработке ПДн Обществом обеспечивается точность ПДн, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки ПДн. 3.1.7. Хранение ПДн осуществляется Обществом в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПДн. Обрабатываемые ПДн подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено Федеральным законом. 4. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ 4.1. Во исполнение требований Федерального закона Общество разрабатывает и публикует в составе Политики Перечень целей обработки персональных данных (приложение № 1 к настоящей Политике). 4.2. Перечень целей обработки персональных данных регулярно актуализируется с учетом изменения бизнес-процессов в Обществе. 5. СПОСОБЫ И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ 5.1. Обработка ПДн в Обществе осуществляется с использованием средств автоматизации, в том числе в информационных системах ПДн, а также без использования средств автоматизации. 5.2. При автоматизированной обработке ПДн применяется передача ПДн по внутренней сети Общества и с использованием информационно-телекоммуникационной сети «Интернет». 5.3. Трансграничная передача ПДн осуществляется исключительно при наличии письменного согласия субъекта ПДн и только в определенных целях с учетом условий и ограничений, установленных Федеральным законом. 5.4. Общество осуществляет передачу обрабатываемых ПДн органам власти на основании и во исполнение действующего законодательства Российской Федерации. 5.5. Применительно к каждой цели Общество определяет категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных, что закрепляется в Приложении № 1 к настоящей Политике. 5.6. Общество обрабатывает персональные данные исключительно при наличии правовых оснований, предусмотренных Федеральным законом. 5.7. Общество для достижения целей, закрепленных в Приложении № 1 к настоящей Политике, может привлекать третьих лиц. К третьим лицам могут относиться: 5.7.1. Банковские организации, осуществляющие выпуск и обслуживание банковских карт для последующего начисления заработной платы и иных выплат работнику. 5.7.2. Страховые организации, организующие и предоставляющие услуги добровольного медицинского страхования и страхования от несчастных случаев работника. 5.7.3. Операторы систем электронного документооборота, обеспечивающие юридически значимый электронный документооборот. 5.7.4. Операторы связи, оказывающие услуги связи. 5.7.5. Аудиторы, проводящие аудиторские проверки и формирующие заключения. 5.7.6. Организации, привлекаемые для оказания услуг доставки корреспонденции и автотранспортного обслуживания. 5.7.7. Сервисные компании (компании, оказывающие консультационные, юридические, иные услуги, необходимые для обеспечения бизнес-процессов Общества) 5.7.8. Лица, обладающие правом в предусмотренных законодательством РФ случаях на получение ПДн в составе, необходимом для осуществления и выполнения возложенных на таких лиц функций, полномочий и обязанностей. 5.7.9. Иные контрагенты, с которыми Общество взаимодействует для достижения целей, закрепленных в Приложении № 1 к настоящей Политике. 5.8. Фактический состав привлекаемых Обществом третьих лиц к обработке ПДн определяется в соответствии с положениями законодательства РФ, договоров между Обществом и Субъектом ПДн, согласия(-ий) Субъекта ПДн на обработку ПДн, договоров между Обществом и контрагентом, являющимся оператором ПДн. 5.9. Общество, получившее доступ к ПДн, не раскрывает третьим лицам и не распространяет ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом. 6. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ 6.1. Субъект ПДн вправе: 6.1.1. Получать сведения об обработке ПДн Обществом за исключением случаев, когда такое право может быть ограничено в соответствии с Федеральным законом, в том числе если доступ Субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц. 6.1.2. Требовать уточнения, блокирования или уничтожения обрабатываемых ПДн в случае, если они являются неполными, устаревшими, неточными, незаконно полученными или не могут быть признаны необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав. 6.1.3. Обратиться к Обществу любым удобным и возможным способом для реализации и защиты своих прав и законных интересов. 6.1.4. Обжаловать действия или бездействие Общества путем обращения в уполномоченный орган по защите прав субъектов ПДн. 6.1.5. Защищать свои права и законные интересы, в том числе, требовать возмещения убытков и (или) компенсации морального вреда в судебном порядке. 6.1.6. Отозвать свое согласие на обработку ПДн (порядок отзыва согласия на обработку ПДн прописан в согласии на обработку ПДн, выданное субъектом ПДн). 6.1.7. Обжаловать в судебном порядке (предусмотренным действующим законодательством Российской Федерации) любые неправомерные действия или бездействие Общества при Обработке и защите его ПДн. 7. ПРАВА И ОБЯЗАННОСТИ ОБЩЕСТВА ПРИ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ 7.1. При обработке ПДн Общество обязано: 7.1.1. Назначить лицо, ответственное за организацию обработки ПДн. 7.1.2. Утвердить Положение по обработке персональных данных, включающее сведения, в которых для каждой цели обработки персональных данных определены категории и перечень обрабатываемых персональных данных, категории субъектов, персональные данные которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения персональных данных при достижении целей их обработки или при наступлении иных законных оснований, а также устанавливающее процедуры, направленные на предотвращение и выявление нарушений законодательства о персональных данных, устранение последствий таких нарушений. 7.1.3. Осуществлять обработку ПДн субъектов с соблюдением принципов и правил, предусмотренных действующим законодательством Российской Федерации и внутренними документами Общества в области ПДн. 7.1.4. Сообщать субъекту ПДн или его законному представителю по его запросу информацию о наличии в Обществе ПДн, относящихся к соответствующему субъекту ПДн. Сведения предоставляются в той форме, в которой направлены соответствующие обращение или запрос, если иное не указано в обращении или запросе. 7.1.5. Безвозмездно предоставить возможность ознакомления субъекта ПДн или его законного представителя с ПДн субъекта ПДн в течение 10 рабочих дней с момента получения запроса (указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации). Предоставляемые Обществом сведения не могут содержать ПДн, принадлежащие другим Субъектам ПДн, за исключением случаев, когда имеются законные основания для раскрытия таких ПДн. 7.1.6. В случае принятия решения об отказе в предоставлении субъекту ПДн информации о наличии у Общества ПДн субъекта ПДн, в течение 10 рабочих дней со дня обращения или получения запроса дать в письменной форме мотивированный ответ субъекту ПДн (указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации). 7.1.7. Внести необходимые изменения ПДн в срок, не превышающий 7 рабочих дней со дня предоставления субъектом ПДн или его представителем сведений, подтверждающих, что ПДн являются неполными, неточными или неактуальными. О внесенных изменениях и предпринятых мерах Общество обязано уведомить субъекта ПДн или его представителя, и принять разумные меры для уведомления третьих лиц, которым ПДн этого субъекта были переданы. 7.1.8. В случае достижения цели обработки ПДн, прекратить обработку ПДн и уничтожить соответствующие ПДн в срок, не превышающий 30 дней с момента достижения цели обработки ПДн, если иное не предусмотрено действующим законодательством РФ, договором между Обществом и субъектом ПДн либо если Общество не вправе осуществлять обработку ПДн без согласия субъекта ПДн. 7.1.9. В случае отзыва субъектом ПДн согласия на обработку своих ПДн / внесения ПДн в общедоступные источники прекратить обработку ПДн / исключить ПДн из общедоступных источников и уничтожить ПДн в срок, не превышающий 30 дней с момента поступления указанного отзыва, если иное не предусмотрено законодательством РФ, договором между Обществом и субъектом ПДн. 7.1.9. Сообщить в уполномоченный орган по защите прав субъектов ПДн по его запросу информацию и документы, необходимые для осуществления деятельности указанного органа, в течение 10 рабочих дней с момента получения такого запроса, если иное не установлено требованиями законодательства Российской Федерации (указанный срок может быть продлен, но не более чем на пять рабочих дней в случае направления оператором в адрес субъекта персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации). 7.1.10. Осуществлять внутренний контроль и (или) аудит соответствия обработки ПДн требованиям Федерального закона и внутренних нормативных документов Общества по вопросам обработки ПДн. 7.1.11. Осуществлять оценку вреда в соответствии с требованиями, установленными уполномоченным органом по защите прав субъектов ПДн, который может быть причинен Субъектам ПДн в случае нарушения требований законодательства РФ, соотношение указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных требованиям законодательства РФ. 7.1.12. Ознакомить лиц, привлеченных (допущенных) Обществом к обработке ПДн, с требованиями законодательства РФ, в том числе требованиями к защите ПДн, документами, определяющими Политику в отношении обработки персональных данных, внутренними нормативными документами Общества по вопросам обработки ПДн, и (или) обучать указанных лиц. 7.1.13. В случае если передача ПДн и (или) согласия на их обработку является обязательным в соответствии с требованиями законодательства РФ и Субъект ПДн отказывается предоставить ПДн и (или) предоставить согласие на их обработку, разъяснить юридические последствия непредоставления ПДн и/или согласия на их обработку. 7.1.14. В случае получения ПДн не от Субъекта ПДн до начала обработки ПДн предоставить Субъекту ПДн информацию, предусмотренную Федеральным законом. 7.1.15. Принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн. 7.1.16. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав Субъектов ПДн, уведомить об указанном факте уполномоченный орган по защите прав субъектов ПДн в порядке и сроки, предусмотренные законодательством РФ. 7.2. При обработке ПДн Общество вправе поручить обработку ПДн другому лицу, с согласия субъекта ПДн, если иное не предусмотрено законодательством РФ, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта. 8. ТРЕБОВАНИЯ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ, РЕАЛИЗУЕМЫЕ В ОБЩЕСТВЕ 8.1. Общество при обработке ПДн принимает все необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн. 8.2. К мерам для защиты ПДн относятся: 8.2.1. Назначение в Обществе лица, ответственного за организацию Обработки ПДн и их защиту. 8.2.2. Утверждение внутренних нормативных документов по вопросам обработки и защиты ПДн, направленных на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений. 8.2.3. Применение правовых, организационных и технических мер по обеспечению защиты ПДн. 8.2.4. Осуществление внутреннего контроля и (или) аудита соответствия обработки ПДн действующему законодательству Российской Федерации в области ПДн. 8.2.5. Ознакомление Сотрудников Общества, непосредственно осуществляющих обработку ПДн, с положениями законодательства Российской Федерации в области ПДн, в том числе требованиями к защите ПДн. 8.2.6. Периодический контроль за соответствием принимаемых мер по обеспечению безопасности ПДн законодательству Российской Федерации в области ПДн и принятым в его исполнение внутренним нормативным документам Общества. 8.2.7. Определение угроз безопасности ПДн, которые могут возникнуть при их обработке в ИСПДн. 8.2.8. Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации 8.2.9. Проведение оценки эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию ИСПДн. 8.2.10. Определение мест хранения материальных (в том числе машинных) носителей ПДн, обеспечение учета и сохранности носителей ПДн, исключение несанкционированного доступа к носителям ПДг, а также раздельное хранение ПДн (материальных носителей), обработка которых осуществляется в различных целях. 8.2.11. Обнаружение фактов несанкционированного доступа к ПДн и принятие необходимых мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них. 8.2.12. Восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним. 8.2.13. Установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн. 8.2.14. Взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ (ГосСОПКА), включая информирование федерального органа исполнительной власти, уполномоченного в области обеспечения безопасности, о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПДн, в порядке, определенном федеральным органом исполнительной власти в области обеспечения безопасности. 8.2.15. Организация режима безопасности помещений, в которых осуществляется обработка ПДн и (или) размещены программно-аппаратные средства, используемые для обработки ПДн, препятствующего возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения. 8.2.16. Установление и утверждение перечня лиц (должностей), привлеченных (допущенных) Обществом к автоматизированной и (или) неавтоматизированной обработке ПДн. 9. ПРАВИЛА ОБРАБОТКИ COOKIE-ФАЙЛОВ 9.1. На веб-сайтах Общества могут использоваться cookie-файлы следующих типов: 9.1.1. Технические – строго необходимые для правильной работы и отображения сайта на устройстве пользователя. 9.1.2. Статистические (аналитические) – позволяют подсчитать количество посещений веб-сайта, отдельных страниц веб-сайта и иную статистику. 9.1.3. Функциональные – облегчают использование веб-сайта, запоминая предпочтения пользователя (язык, местонахождение, пароль и т.д.). 9.1.4. Рекламные – позволяют отображать рекламу, которая может заинтересовать пользователя. 9.1.5. Иные – cookie-файлы, не перечисленные в данном перечне. 9.2. Срок хранения cookie-файлов может различаться в зависимости от их типа, но в любом случае он ограничен периодом, необходимым для достижения цели использования конкретного cookie-файла. 9.3. Общество не использует cookie-файлы для: 9.3.1. Прямого или косвенного определения Субъектов пдН с использованием технической информации или иных сведений. 9.3.2. Сопоставления (сравнение), объединения (связывание) информации из cookie-файлов с иными находящимися в распоряжении сведениями. 9.4. При первом попадании на веб-сайт пользователь информируется об обработке cookie-файлов. Ему предлагается выразить согласие на такую обработку либо отказаться посредством изменения настроек браузера. 10. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ 10.1. Настоящая Политика вступает в силу с даты ее утверждения приказом Генерального директора Общества. 10.2. Положения настоящей Политики являются обязательными для исполнения всеми Сотрудниками и/или Контрагентами Общества, имеющими доступ к ПДн. 10.3. Настоящая Политика действует в отношении всех ПДн, обрабатываемых в Обществе, является общедоступным документом и подлежит размещению на официальном сайте Общества. 10.4. Настоящая Политика может быть пересмотрена в случае изменения законодательства Российской Федерации, а также в случае необходимости дополнения Политики (Приложение № 1) по перечню ПДн, целям их обработки, срокам и способам обработки, путем разработки дополнений и приложений к настоящей Политике, утверждаемых приказом Генерального директора Общества. 10.5. Уполномоченный орган по защите прав субъектов ПДн - Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), Управление по защите прав субъектов персональных данных.