Политика ООО «ИнфоКод» в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика разработана в соответствии с частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Обществом с ограниченной ответственностью «ИнфоКод» (далее — Оператор).
1.2. Политика является общедоступным документом и подлежит опубликованию на сайте Оператора по адресу infocodrzn.ru/policy.html.
1.3. Политика применяется ко всем персональным данным, которые Оператор получает от субъектов персональных данных через сайт, по электронной почте, по телефону, через мессенджеры, а также в рамках договорных и трудовых отношений.
1.4. Использование сайта Оператора и отправка данных через формы обратной связи означает согласие субъекта с условиями настоящей Политики. При несогласии субъект вправе не использовать формы обратной связи и обратиться к Оператору по телефону.
2. Сведения об операторе
| Полное наименование | Общество с ограниченной ответственностью «ИнфоКод» |
|---|---|
| ИНН / КПП | 6234204723 / 623401001 |
| ОГРН | 1236200005975 от 21.07.2023 |
| Юридический и фактический адрес | 390000, Рязанская область, г. Рязань, ул. Садовая, д. 24а, офис 208 |
| Телефон | +7 (4912) 721-721 |
| Электронная почта | infocod@r62.org |
| Ответственный за организацию обработки персональных данных | Заместитель генерального директора Улькин Вадим Дмитриевич Телефон: +7 (4912) 721-721 Контакт для обращений субъектов: infocod@r62.org с пометкой «ПДн» |
3. Основные понятия
- Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту).
- Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.
- Оператор — ООО «ИнфоКод», организующее и осуществляющее обработку персональных данных.
- Субъект — физическое лицо, к которому относятся персональные данные.
- Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность данных конкретному субъекту.
- Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание данных и в результате которых уничтожаются материальные носители.
4. Принципы обработки персональных данных
Оператор обрабатывает персональные данные в соответствии со статьёй 5 152-ФЗ:
- на законной и справедливой основе;
- только для заранее определённых и заявленных целей;
- в объёме, не избыточном по отношению к целям обработки (принцип минимизации);
- обеспечивая точность и достаточность данных, а при необходимости — их актуальность;
- не допуская объединения баз данных, обработка которых осуществляется в несовместимых между собой целях;
- уничтожая или обезличивая данные по достижении целей обработки либо в случае утраты необходимости в их достижении.
Оператор не обрабатывает биометрические персональные данные и специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни), за исключением случаев, прямо предусмотренных законодательством в рамках трудовых отношений.
5. Цели обработки, правовые основания, категории данных и сроки хранения
| Цель обработки | Правовое основание | Категории субъектов | Состав данных | Срок хранения |
|---|---|---|---|---|
| Рассмотрение обращения и ответ на заявку, направленную через сайт | Согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ) | Пользователи сайта, потенциальные заказчики | Имя, наименование организации, адрес электронной почты и (или) номер телефона и (или) идентификатор в мессенджере, текст обращения | 1 год с даты обращения либо до отзыва согласия |
| Заключение и исполнение договора на оказание услуг по защите информации | Исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ) | Представители заказчиков, контактные лица | ФИО, должность, служебный телефон, служебная электронная почта, подпись в акте или доверенности | 5 лет с даты прекращения договора (требования к бухгалтерским документам) |
| Направление информационных и рекламных сообщений о услугах Оператора | Отдельное согласие субъекта (ч. 1 ст. 15 152-ФЗ) | Лица, давшие согласие на рассылку | Имя, адрес электронной почты | До отзыва согласия |
| Организация трудовых отношений и кадровый учёт | Трудовой кодекс РФ, п. 2 ч. 1 ст. 6 152-ФЗ | Работники и кандидаты | Данные, предусмотренные Трудовым кодексом РФ и подзаконными актами | В соответствии с номенклатурой дел и приказом Росархива |
| Улучшение работы сайта, сбор обезличенной статистики посещений | Согласие субъекта, законный интерес Оператора | Посетители сайта | IP-адрес, данные браузера и устройства, источник перехода, поведение на страницах — в обезличенном виде | Согласно настройкам сервиса аналитики |
5.1. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки персональных данных.
5.2. Оператор не обрабатывает персональные данные несовершеннолетних. Формы обратной связи предназначены для представителей организаций.
6. Формы обратной связи на сайте
6.1. На сайте размещены формы обратной связи. Отправка формы возможна только после проставления отметки о согласии на обработку персональных данных. Текст согласия размещён на отдельной странице: Согласие на обработку персональных данных.
6.2. Обязательными для заполнения являются имя и один контакт для связи. Остальные поля заполняются по желанию субъекта. Оператор просит не указывать в поле описания задачи персональные данные третьих лиц, сведения, составляющие государственную тайну, а также сведения о конкретных уязвимостях и настройках информационных систем.
6.3. Обработка заявок производится программным обеспечением, размещённым на сервере Оператора. Заявка сохраняется в журнале обращений и направляется на корпоративный адрес электронной почты Оператора.
6.4. Совместно с заявкой Оператор фиксирует факт получения согласия: дату и время, версию текста согласия, IP-адрес и данные браузера. Указанные сведения используются исключительно как подтверждение получения согласия и для защиты от автоматизированных рассылок.
6.5. Субъект вправе в любой момент отозвать согласие, направив обращение на адрес infocod@r62.org. Данные будут уничтожены в срок, не превышающий 30 дней с даты поступления обращения.
7. Файлы cookie и веб-аналитика
7.1. Сайт использует технические файлы cookie, необходимые для его функционирования, и сервис веб-аналитики «Яндекс.Метрика» (номер счётчика 110787644), правообладателем которого является ООО «ЯНДЕКС» — российское юридическое лицо. Данные обрабатываются на территории Российской Федерации.
7.2. Сервис аналитики собирает обезличенные сведения о посещении сайта: IP-адрес, тип и версию браузера и операционной системы, разрешение экрана, источник перехода, просмотренные страницы, время на сайте. Указанные сведения используются для оценки эффективности сайта и не применяются для идентификации конкретных посетителей.
7.3. Посетитель вправе отказаться от сбора статистики, отключив файлы cookie в настройках браузера или воспользовавшись расширениями блокировки аналитических скриптов. Отключение cookie не влияет на возможность просмотра сайта.
7.4. Оператор не размещает на сайте рекламных пикселей и виджетов иностранных сервисов. Шрифты, скрипты и изображения загружаются с сервера Оператора.
8. Локализация баз данных и трансграничная передача
8.1. В соответствии с частью 5 статьи 18 152-ФЗ базы данных, содержащие персональные данные граждан Российской Федерации, размещены на серверах, расположенных на территории Российской Федерации. Первичная запись, накопление, хранение, уточнение и извлечение персональных данных осуществляются с использованием указанных баз данных.
8.2. Оператор не осуществляет трансграничную передачу персональных данных. Сервисы обработки заявок, электронной почты, веб-аналитики и хостинга сайта предоставляются лицами, зарегистрированными в Российской Федерации, с размещением инфраструктуры на территории Российской Федерации.
8.3. В случае возникновения необходимости трансграничной передачи Оператор предварительно уведомит Роскомнадзор в порядке статьи 12 152-ФЗ и внесёт соответствующие изменения в настоящую Политику до начала такой передачи.
9. Передача персональных данных третьим лицам
9.1. Оператор не продаёт, не сдаёт в аренду и не передаёт персональные данные третьим лицам в маркетинговых целях.
9.2. Передача персональных данных возможна в следующих случаях:
- по требованию уполномоченных государственных органов в порядке и объёме, установленных законодательством Российской Федерации;
- операторам связи и почтовым службам — в объёме, необходимом для направления ответа субъекту;
- лицам, осуществляющим обработку по поручению Оператора, — на основании договора, содержащего условия, предусмотренные частью 3 статьи 6 152-ФЗ (перечень действий, цели обработки, обязанность соблюдать конфиденциальность и требования статьи 19 152-ФЗ, обязанность уведомлять об инцидентах).
9.3. Перечень лиц, осуществляющих обработку по поручению Оператора, ведётся Оператором и предоставляется субъекту по его запросу.
10. Меры по обеспечению безопасности персональных данных
10.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьёй 19 152-ФЗ и приказом ФСТЭК России от 18.02.2013 № 21, в том числе:
- назначено лицо, ответственное за организацию обработки персональных данных;
- утверждены локальные акты по вопросам обработки и защиты персональных данных, работники ознакомлены с ними под подпись;
- определены угрозы безопасности персональных данных и уровень защищённости информационной системы, применяются необходимые организационные и технические меры защиты;
- передача данных между браузером посетителя и сайтом защищена криптографическим протоколом TLS;
- доступ к журналу обращений ограничен на уровне веб-сервера и файловой системы, доступ предоставляется по принципу минимальных полномочий;
- ведётся учёт машинных носителей, применяется резервное копирование, осуществляется контроль принимаемых мер и оценка эффективности защиты;
- реализованы регистрация и учёт действий с персональными данными, обнаружение фактов несанкционированного доступа;
- утверждены локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации и устранение последствий таких нарушений;
- осуществляется внутренний контроль соответствия обработки персональных данных требованиям законодательства, политике Оператора и его локальным актам;
- проведена оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения 152-ФЗ, и соотношение указанного вреда с принимаемыми мерами;
- применяются средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия;
- проводится оценка эффективности принимаемых мер по обеспечению безопасности до ввода информационных систем в эксплуатацию;
- установлены правила доступа к персональным данным, обрабатываемым в информационных системах.
10.2. Перечень принимаемых мер соответствует сведениям, направленным Оператором в уведомлении об обработке персональных данных в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций.
10.3. Оператор является лицензиатом ФСТЭК России и ФСБ России в области защиты информации. Сведения о лицензиях размещены в разделе «О компании» и подлежат проверке в реестре лицензий ФСТЭК России.
11. Права субъекта персональных данных
11.1. Субъект имеет право:
- получить подтверждение факта обработки его данных Оператором и ознакомиться со сведениями, перечисленными в части 7 статьи 14 152-ФЗ;
- требовать уточнения, блокирования или уничтожения данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных;
- возражать против обработки в целях продвижения услуг;
- обжаловать действия или бездействие Оператора в Управление Роскомнадзора по Рязанской области либо в судебном порядке;
- на защиту прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.
11.2. Запрос направляется на адрес infocod@r62.org либо по почте на адрес, указанный в разделе 2. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения, подтверждающие участие субъекта в отношениях с Оператором либо иным образом подтверждающие факт обработки данных, подпись субъекта или его представителя.
11.3. Оператор рассматривает запрос в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту уведомления с обоснованием продления.
11.4. В случае отзыва согласия обработка прекращается, а данные уничтожаются в срок, не превышающий 30 дней, если их сохранение не требуется в силу закона или для исполнения договора.
12. Порядок уничтожения персональных данных
12.1. По достижении цели обработки, при утрате необходимости в достижении цели, при отзыве согласия либо по истечении срока хранения персональные данные подлежат уничтожению.
12.2. Уничтожение данных в электронном виде производится путём удаления записей из журнала обращений и удаления резервных копий, в которых содержались соответствующие записи, с последующей перезаписью области хранения. Уничтожение данных на бумажных носителях производится путём измельчения.
12.3. Факт уничтожения фиксируется актом об уничтожении персональных данных с указанием даты, перечня уничтоженных данных, способа уничтожения и лиц, участвовавших в процедуре. Акты хранятся не менее 3 лет.
13. Действия при инцидентах безопасности
13.1. При обнаружении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор в соответствии с частью 3.1 статьи 21 152-ФЗ:
- в течение 24 часов с момента выявления инцидента уведомляет Роскомнадзор о факте инцидента, предполагаемых причинах, предполагаемом вреде для субъектов, принятых мерах, а также сообщает сведения о лице, уполномоченном взаимодействовать с уполномоченным органом;
- в течение 72 часов с момента выявления инцидента направляет Роскомнадзору результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента (при наличии);
- при необходимости взаимодействует с НКЦКИ и правоохранительными органами.
13.2. Порядок действий работников при инциденте определён внутренним регламентом реагирования на инциденты безопасности персональных данных.
14. Заключительные положения
14.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на сайте, если иное не предусмотрено новой редакцией.
14.2. Действующая редакция Политики постоянно доступна по адресу infocodrzn.ru/policy.html. Архив предыдущих редакций хранится у Оператора и предоставляется по запросу.
14.3. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.