Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Оператором, и составлена во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ).

1.2. Оператор персональных данных:

• Наименование: ИП Шишкин Сергей Сергеевич (коммерческое обозначение — «СВГ-Групп»)
• ИНН: 482561402617
• ОГРНИП: 325480000056543
• Адрес: 399079, Липецкая область, Грязинский район, с. Головщино, ул. Заря Коммунизма, д. 34
• Телефон: 8 (920) 248-90-00
• Адрес электронной почты: info@svg-group.pro
• Сайты Оператора: svg-group.pro и иные принадлежащие Оператору сайты и посадочные страницы

1.3. Лицо, ответственное за организацию обработки персональных данных (ст. 22.1 Закона № 152-ФЗ): Шишкин Сергей Сергеевич, контакты для обращений — info@svg-group.pro, 8 (920) 248-90-00.

1.4. Политика распространяется на все персональные данные, которые Оператор получает от субъектов персональных данных: посетителей сайтов Оператора, заказчиков, представителей заказчиков и контрагентов, кандидатов и работников.

1.5. Действующая редакция Политики размещена в свободном доступе по постоянному адресу /legal/politika-pdn.html и доступна с любой страницы сайта из нижнего блока (подвала).

2. Основные понятия

Понятия «персональные данные», «обработка персональных данных», «оператор», «распространение», «трансграничная передача», «блокирование», «уничтожение» используются в значениях, определённых ст. 3 Закона № 152-ФЗ.

3. Правовые основания обработки

3.1. Оператор обрабатывает персональные данные на следующих правовых основаниях:

• согласие субъекта персональных данных на обработку его персональных данных (п. 1 ч. 1 ст. 6 Закона № 152-ФЗ) — при заполнении форм на сайте;
• исполнение договора, стороной которого либо выгодоприобретателем по которому является субъект, а также заключение договора по инициативе субъекта (п. 5 ч. 1 ст. 6 Закона № 152-ФЗ);
• исполнение возложенных на Оператора законом обязанностей — налоговых, бухгалтерских, архивных (п. 2 ч. 1 ст. 6 Закона № 152-ФЗ);
• отдельное согласие на распространение персональных данных (ст. 10.1 Закона № 152-ФЗ) — при публикации фотографий, отзывов, наименований объектов заказчиков;
• отдельное согласие на получение рекламы (ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе») — при направлении рекламных рассылок.

3.2. Оператор не обрабатывает специальные категории персональных данных (ст. 10 Закона № 152-ФЗ) и биометрические персональные данные (ст. 11 Закона № 152-ФЗ).

3.3. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки (ст. 16 Закона № 152-ФЗ).

4. Цели обработки, состав данных и сроки

5. Порядок и способы обработки

5.1. Обработка персональных данных осуществляется с использованием средств автоматизации и без использования таких средств. Оператор совершает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.

5.2. Оператор не размещает персональные данные в общедоступных источниках и не формирует общедоступные справочники без отдельного согласия субъекта, предусмотренного ст. 10.1 Закона № 152-ФЗ.

5.3. Обработка ограничивается достижением конкретных, заранее определённых и законных целей. Обрабатываются только те данные, которые отвечают целям обработки; их содержание и объём не являются избыточными.

5.4. Хранение персональных данных, полученных через сайт, осуществляется на территории Российской Федерации с использованием баз данных, находящихся в Российской Федерации (ч. 5 ст. 18 Закона № 152-ФЗ).

6. Передача персональных данных третьим лицам

6.1. Оператор вправе поручить обработку персональных данных третьему лицу на основании договора, содержащего перечень действий, цели обработки и обязанность соблюдать конфиденциальность и требования к безопасности данных (ч. 3 ст. 6 Закона № 152-ФЗ). Оператор остаётся ответственным перед субъектом за действия такого лица.

6.2. Категории лиц, которым могут передаваться персональные данные:

• поставщик услуг хостинга и обслуживания сайта — в объёме, необходимом для функционирования сайта;
• оператор сервиса веб-аналитики — в объёме обезличенных идентификаторов и данных о поведении на сайте;
• государственные органы — по основаниям и в объёме, предусмотренном законодательством Российской Федерации.

6.3. Оператор не продаёт персональные данные и не передаёт их третьим лицам в рекламных целях.

7. Трансграничная передача

7.1. Оператор осуществляет трансграничную передачу персональных данных исключительно при наличии оснований, предусмотренных ст. 12 Закона № 152-ФЗ, и после направления в Роскомнадзор уведомления о намерении осуществлять такую передачу.

7.2. Данные, которые субъект вводит в формы на сайте (имя, телефон, параметры объекта, содержание обращения, приложенные файлы), обрабатываются обработчиком, размещённым на сервере Оператора в Российской Федерации, и внешним сервисам приёма форм не передаются.

7.3. Актуальный перечень иностранных государств, на территорию которых может осуществляться передача, и наименования соответствующих сервисов приведены в разделе «Сервисы третьих лиц» Политики в отношении файлов cookie. При отсутствии в указанном разделе сведений об иностранных сервисах трансграничная передача Оператором не осуществляется.

8. Файлы cookie и веб-аналитика

8.1. Сайт использует файлы cookie и аналогичные технологии. Обязательные (технические) cookie обеспечивают работоспособность сайта и запоминание выбора пользователя в отношении cookie; они устанавливаются на основании п. 5 ч. 1 ст. 6 Закона № 152-ФЗ и не требуют согласия.

8.2. Аналитические и рекламные cookie, а также счётчики веб-аналитики устанавливаются только после получения согласия пользователя, выражаемого нажатием кнопки «Принять» в баннере при первом посещении сайта. До получения согласия соответствующие скрипты не загружаются.

8.3. Отозвать согласие на использование аналитических cookie можно в любой момент по ссылке «Настройки cookie» в нижнем блоке любой страницы сайта, а также путём удаления файлов cookie и изменения настроек браузера.

8.4. Подробное описание используемых категорий файлов cookie, сроков их хранения и перечня сервисов приведено в Политике в отношении файлов cookie и веб-аналитики, которая является неотъемлемой частью настоящей Политики.

9. Права субъекта персональных данных

9.1. Субъект персональных данных имеет право:

• получать сведения, касающиеся обработки его персональных данных, предусмотренные ч. 7 ст. 14 Закона № 152-ФЗ;
• требовать уточнения персональных данных, их блокирования или уничтожения, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• отозвать согласие на распространение персональных данных — в этом случае Оператор обязан прекратить передачу (распространение, предоставление, доступ) с момента получения требования (ч. 12 ст. 10.1 Закона № 152-ФЗ);
• отказаться от получения рекламных сообщений;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в судебном порядке.

9.2. Запрос направляется на info@svg-group.pro или почтой по адресу Оператора. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона № 152-ФЗ: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата обращения) либо иным способом подтверждающие факт обработки, подпись субъекта или его представителя.

9.3. Сроки ответа Оператора:

• предоставление сведений об обработке — в течение 10 рабочих дней с даты получения запроса (срок может быть продлён не более чем на 5 рабочих дней с уведомлением субъекта);
• прекращение обработки при отзыве согласия — в течение 30 дней с даты поступления отзыва (ч. 5 ст. 21 Закона № 152-ФЗ);
• прекращение распространения при отзыве согласия по ст. 10.1 — незамедлительно, но не позднее 3 рабочих дней;
• уничтожение неправомерно обрабатываемых данных — в течение 10 рабочих дней с момента выявления или получения требования.

10. Меры по обеспечению безопасности персональных данных

10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ч. 1 ст. 18.1 и ст. 19 Закона № 152-ФЗ, в том числе:

• назначение лица, ответственного за организацию обработки персональных данных;
• издание Политики и локальных актов по вопросам обработки, ознакомление с ними работников, имеющих доступ к персональным данным;
• определение угроз безопасности и применение необходимых средств защиты информации;
• ограничение и разграничение доступа к персональным данным; ведение учёта лиц, имеющих доступ;
• использование защищённого соединения HTTPS при передаче данных с форм сайта;
• резервное копирование, контроль сохранности носителей, регистрация фактов доступа;
• внутренний контроль соответствия обработки требованиям законодательства и оценка вреда, который может быть причинён субъектам;
• реагирование на инциденты: при неправомерной передаче (предоставлении, распространении, доступе) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о факте инцидента и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона № 152-ФЗ).

11. Порядок действий при инциденте и утечке персональных данных

11.1. Инцидентом признаётся любой факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкший нарушение прав субъектов, а также несанкционированный доступ к персональным данным, их изменение, блокирование, копирование или уничтожение.

11.2. Оператор действует в следующие сроки, установленные ч. 3.1 ст. 21 Закона № 152-ФЗ:

• в течение 24 часов с момента выявления инцидента — уведомляет Роскомнадзор о произошедшем, о предполагаемой причине и предполагаемом вреде правам субъектов, о принятых мерах по устранению последствий, а также сообщает сведения о лице, уполномоченном взаимодействовать с Роскомнадзором по вопросам инцидента;
• в течение 72 часов с момента выявления инцидента — уведомляет Роскомнадзор о результатах внутреннего расследования и сообщает сведения о лицах, действия которых стали причиной инцидента (при наличии таких лиц).

11.3. Уведомления направляются через личный кабинет оператора на портале Роскомнадзора либо иным способом, предусмотренным уполномоченным органом.

11.4. Внутренний порядок действий: обнаружение и фиксация инцидента → немедленное ограничение доступа и блокирование затронутых данных → уведомление лица, ответственного за организацию обработки → уведомление Роскомнадзора в срок 24 часа → внутреннее расследование с установлением причин, объёма затронутых данных и круга субъектов → уведомление Роскомнадзора о результатах в срок 72 часа → устранение причин, восстановление данных из резервных копий → уведомление затронутых субъектов персональных данных, если инцидент создаёт угрозу их правам → оформление акта и внесение изменений в меры защиты.

11.5. Порядок реагирования на инциденты закреплён внутренним регламентом Оператора, утверждённым приказом. Лицо, ответственное за взаимодействие с Роскомнадзором по вопросам инцидентов, — лицо, указанное в п. 1.3 настоящей Политики.

11.6. Субъект персональных данных, которому стало известно об инциденте либо который подозревает неправомерный доступ к своим данным, может сообщить об этом на info@svg-group.pro или по телефону 8 (920) 248-90-00. Такое сообщение рассматривается незамедлительно.

12. Уничтожение персональных данных

12.1. По достижении целей обработки, при отзыве согласия и отсутствии иного правового основания, а также при выявлении неправомерной обработки персональные данные подлежат уничтожению в установленные законом сроки.

12.2. Факт уничтожения подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе — в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179.

13. Заключительные положения

13.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на сайте, если иное не предусмотрено самой редакцией.

13.2. Действующая редакция Политики всегда доступна по адресу /legal/politika-pdn.html.