Политика в отношении обработки персональных данных
1. Общие положения
1.1. Настоящая Политика определяет порядок и условия обработки персональных данных, которые осуществляет Индивидуальный предприниматель Родуман Иван (далее — «Оператор»), а также меры по защите персональных данных, принимаемые Оператором.
1.2. Политика действует в отношении всех персональных данных, которые Оператор получает через сайт lidy-na-okna.ru (далее — «Сайт»), через принадлежащие Оператору тематические сайты и рекламные площадки, посвящённые остеклению (далее — «Площадки»), а также при переписке и телефонных переговорах с Оператором.
1.3. Оператор обрабатывает персональные данные на основании и во исполнение:
- Конституции Российской Федерации (ст. 23, 24);
- Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных»);
- Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» (в части рекламных сообщений);
- Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
- Приказа Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных»;
- иных нормативных правовых актов Российской Федерации, а также локальных актов Оператора.
1.4. Сведения об Операторе:
| Наименование | Индивидуальный предприниматель Родуман Иван |
|---|---|
| Адрес | 119180, г. Москва, ул. Большая Якиманка, д. 31 |
| Каналы для обращений по вопросам персональных данных | Telegram: https://t.me/roduman; письменно — по адресу, указанному выше |
| Лицо, ответственное за организацию обработки персональных данных | Индивидуальный предприниматель Родуман Иван (лично), ст. 22.1 Закона о персональных данных |
1.5. Термины «персональные данные», «обработка персональных данных», «оператор», «субъект персональных данных», «автоматизированная обработка», «предоставление», «распространение», «блокирование», «уничтожение», «обезличивание» используются в значениях, определённых ст. 3 Закона о персональных данных.
1.6. Оператор не обрабатывает специальные категории персональных данных (ст. 10 Закона о персональных данных) и биометрические персональные данные (ст. 11), не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки (ст. 16).
2. Принципы обработки персональных данных
2.1. Обработка персональных данных осуществляется на законной и справедливой основе, ограничивается достижением конкретных, заранее определённых и законных целей, не допускается обработка, несовместимая с целями сбора (ст. 5 Закона о персональных данных).
2.2. Обрабатываются только те персональные данные, которые отвечают целям обработки; их содержание и объём не являются избыточными по отношению к заявленным целям.
2.3. При обработке обеспечиваются точность, достаточность и актуальность данных; неполные или неточные данные уточняются или уничтожаются.
2.4. Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, и уничтожаются по достижении целей или в случае утраты необходимости в их достижении.
2.5. Оператор не вправе отказать в предоставлении услуги в случае отказа субъекта дать согласие на обработку персональных данных, не являющихся необходимыми для её предоставления. Отказ от согласия на получение рекламных сообщений не влияет на рассмотрение обращения.
3. Категории субъектов, состав данных, цели и правовые основания
3.1. Оператор обрабатывает персональные данные следующих категорий субъектов:
| Категория субъектов | Состав персональных данных | Цели обработки | Правовое основание | Срок обработки |
|---|---|---|---|---|
| Посетители Сайта, направившие обращение через форму (представители оконных компаний, предприниматели, иные лица) | Номер телефона; имя (если указано); город; содержание обращения; дата и время обращения; IP-адрес; сведения о браузере и устройстве (User-Agent); страница, с которой отправлена форма; факт, дата и редакция данного согласия | Связь с лицом, направившим обращение: консультация об условиях поставки заявок, расчёт стоимости, заключение и исполнение договора; ведение учёта обращений; подтверждение факта получения согласия (ч. 3 ст. 9 Закона); защита от спама и злоупотреблений | Согласие субъекта (п. 1 ч. 1 ст. 6); заключение и исполнение договора, стороной или выгодоприобретателем по которому является субъект (п. 5 ч. 1 ст. 6); законные интересы Оператора (п. 7 ч. 1 ст. 6) — в части защиты от злоупотреблений и хранения доказательств согласия | До достижения цели, но не более 3 лет с момента последнего взаимодействия, либо до отзыва согласия. Журнал согласий — в течение срока исковой давности (3 года, ст. 196 ГК РФ) |
| Посетители Сайта, давшие согласие на получение информационных и рекламных сообщений | Номер телефона; имя; идентификатор в мессенджере; история отправленных сообщений | Направление информационных и рекламных сообщений об услугах Оператора, новых городах и условиях (ч. 1 ст. 18 Закона «О рекламе») | Отдельное согласие субъекта (п. 1 ч. 1 ст. 6 Закона о персональных данных; ч. 1 ст. 18 Закона «О рекламе») | До отзыва согласия, но не более 3 лет |
| Контрагенты и их представители (руководители и сотрудники компаний-партнёров) | Фамилия, имя, отчество; должность; телефон; e-mail; идентификатор в мессенджере; реквизиты, указанные в договоре | Заключение, исполнение и прекращение договоров; выставление счетов и закрывающих документов; претензионная работа; бухгалтерский и налоговый учёт | Заключение и исполнение договора (п. 5 ч. 1 ст. 6); исполнение возложенных законом обязанностей (п. 2 ч. 1 ст. 6) | В течение срока действия договора и 5 лет после его прекращения (ст. 29 Федерального закона № 402-ФЗ «О бухгалтерском учёте», ст. 23 НК РФ) |
| Физические лица, оставившие заявку на расчёт окон на Площадках Оператора (потенциальные клиенты оконных компаний) | Имя; номер телефона; населённый пункт и адрес объекта (если указаны); параметры заказа (тип остекления, количество, сроки); содержание обращения; запись и результат проверочного звонка; дата и время, IP-адрес, источник обращения | Обработка обращения, проверка его актуальности и передача заявки одной оконной компании-партнёру в населённом пункте субъекта для расчёта стоимости и выполнения работ по остеклению | Согласие субъекта, данное на соответствующей Площадке и прямо предусматривающее передачу данных оконной компании-партнёру (п. 1 ч. 1 ст. 6, ст. 9 Закона о персональных данных) | До передачи заявки партнёру и завершения проверки её качества, но не более 1 года; журнал согласий — 3 года |
| Все посетители Сайта | Технические данные: IP-адрес, cookie-файлы, идентификаторы Яндекс Метрики, данные о браузере, устройстве, разрешении экрана, источнике перехода, просмотренных страницах и действиях на Сайте, включая записи сеансов (Вебвизор) без содержимого полей ввода | Обеспечение работы Сайта (необходимые cookie); статистика посещаемости, анализ удобства Сайта и эффективности рекламы (аналитические cookie) | Необходимые cookie — законные интересы Оператора (п. 7 ч. 1 ст. 6); аналитические cookie и Яндекс Метрика — согласие субъекта, выраженное через баннер на Сайте (п. 1 ч. 1 ст. 6) | Сессионные cookie — до закрытия браузера; cookie согласия — 12 месяцев; данные Яндекс Метрики — в соответствии с условиями сервиса, но не более 3 лет |
3.2. Согласие на обработку персональных данных, направляемых через форму Сайта, даётся путём проставления отметки в поле «Даю согласие на обработку персональных данных» и нажатия кнопки отправки формы. Отметка не проставляется заранее. Текст согласия размещён на странице «Согласие на обработку персональных данных». Согласие на получение рекламных сообщений даётся отдельной отметкой и не является условием рассмотрения обращения (текст согласия).
3.3. В подтверждение получения согласия Оператор фиксирует дату и время, IP-адрес, сведения о браузере, страницу, с которой направлена форма, и редакцию документов, действовавшую на момент отправки (ч. 3 ст. 9 Закона о персональных данных).
3.4. Персональные данные, оставленные на Площадках Оператора потенциальными клиентами оконных компаний, передаются только одной компании-партнёру в соответствующем населённом пункте, с которой у Оператора заключён договор, содержащий обязательства по соблюдению конфиденциальности и требований Закона о персональных данных. Партнёр становится самостоятельным оператором в отношении полученных данных.
4. Условия обработки, передача третьим лицам и поручение обработки
4.1. Обработка ведётся смешанным способом: с использованием средств автоматизации (Сайт, системы учёта обращений, мессенджеры, почтовые сервисы) и без их использования (телефонные переговоры, бумажные документы).
4.2. Оператор не раскрывает персональные данные третьим лицам и не распространяет их без согласия субъекта, за исключением случаев, предусмотренных законодательством Российской Федерации, и случаев, прямо указанных в настоящей Политике.
4.3. Для достижения целей обработки Оператор пользуется услугами следующих лиц, которые получают доступ к персональным данным в объёме, необходимом для оказания услуг:
| Лицо / сервис | Назначение | Данные |
|---|---|---|
| Хостинг-провайдер, включённый в реестр Роскомнадзора, на серверах которого в Российской Федерации размещены Сайт и журнал обращений | Размещение Сайта, хранение баз данных | Все данные, собираемые Сайтом |
| ООО «Яндекс» (119021, г. Москва, ул. Льва Толстого, д. 16) — сервис Яндекс Метрика | Веб-аналитика на основании согласия на аналитические cookie; обработка ведётся по поручению Оператора на условиях Пользовательского соглашения сервиса | Технические данные посетителей (п. 3.1) |
| Telegram (Telegram Messenger Inc., Британские Виргинские острова; Telegram FZ-LLC, ОАЭ) | Доставка Оператору уведомления о факте нового обращения (номер обращения, город, защищённая ссылка на карточку на сервере Оператора — без персональных данных) и переписка с лицами, которые сами написали Оператору в Telegram | Город и номер обращения; при переписке — данные, которые субъект сам сообщает в мессенджере |
| Оператор электронной почты (при использовании почтовых уведомлений) | Доставка уведомлений об обращениях и переписка | Имя, телефон, город, содержание обращения |
| Операторы связи | Телефонные переговоры и проверочные звонки | Номер телефона, записи переговоров |
| Оконные компании-партнёры (по договору) | Передача заявок потенциальных клиентов (п. 3.4) | Имя, телефон, населённый пункт, параметры заказа |
4.4. Локализация и трансграничная передача. Сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных): журнал обращений ведётся на сервере Сайта в России. Оператор не осуществляет трансграничную передачу персональных данных, полученных через формы Сайта: уведомление, которое Оператор получает в Telegram, содержит только номер обращения, город и защищённую ссылку на карточку обращения, размещённую на сервере Оператора в России. Если субъект по собственной инициативе пишет Оператору в Telegram, передача сообщений осуществляется в соответствии с политикой конфиденциальности Telegram; субъект вправе выбрать другой канал связи.
4.5. Персональные данные могут быть переданы уполномоченным органам государственной власти по основаниям и в порядке, установленным законодательством Российской Федерации.
5. Cookie-файлы и аналитика
5.1. Сайт использует необходимые cookie (идентификатор сессии, запоминание выбора в отношении cookie) и аналитические cookie сервиса Яндекс Метрика. Аналитические cookie устанавливаются только после нажатия кнопки «Принять все» в баннере. При выборе «Только необходимые» сервис Яндекс Метрика не загружается.
5.2. Вебвизор Яндекс Метрики настроен так, чтобы не записывать содержимое поля ввода телефона. Подробнее о cookie, их сроках и способах управления — в Политике использования cookie.
6. Права субъектов персональных данных
6.1. Субъект персональных данных вправе (ст. 14, 15, 16, 17, 20, 21 Закона о персональных данных):
- получать информацию, касающуюся обработки его персональных данных, в объёме, предусмотренном ч. 7 ст. 14 Закона, в том числе подтверждение факта обработки, цели, правовые основания, способы, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, сведения о лицах, которым данные переданы или могут быть переданы, о трансграничной передаче;
- требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- отозвать согласие на обработку персональных данных в любое время;
- отозвать согласие на получение рекламных сообщений в любое время, в том числе ответным сообщением в том канале, по которому получено сообщение;
- требовать прекращения обработки персональных данных в целях продвижения услуг (ч. 2 ст. 15 Закона);
- обжаловать действия или бездействие Оператора в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор, rkn.gov.ru) или в судебном порядке;
- на возмещение убытков и компенсацию морального вреда в судебном порядке.
6.2. Обращение направляется Оператору в Telegram https://t.me/roduman или письмом по адресу Оператора. Запрос должен содержать сведения, предусмотренные ч. 3 ст. 14 Закона: номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе (либо иные сведения, подтверждающие участие субъекта в отношениях с Оператором, — например, номер телефона, с которого направлено обращение, и дата обращения), суть требования и подпись субъекта или его представителя. Запрос может быть направлен в форме электронного документа.
6.3. Оператор предоставляет запрошенные сведения или мотивированный отказ в течение 10 рабочих дней с даты получения запроса (ч. 1 ст. 20 Закона). Этот срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.
6.4. В случае отзыва согласия Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней с даты поступления отзыва, если иное не предусмотрено договором с субъектом или законом (ч. 5 ст. 21 Закона). Оператор вправе продолжить обработку без согласия при наличии иных оснований, предусмотренных ч. 1 ст. 6 Закона (например, для исполнения договора или хранения документов учёта в установленные законом сроки).
6.5. При выявлении неправомерной обработки Оператор блокирует персональные данные в срок не более 3 рабочих дней, а при невозможности обеспечить правомерность обработки — уничтожает их в срок не более 10 рабочих дней (ч. 1, 3 ст. 21 Закона). Неточные данные уточняются в срок не более 7 рабочих дней.
7. Меры по защите персональных данных
7.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (ст. 18.1, 19 Закона о персональных данных), в том числе:
- назначено лицо, ответственное за организацию обработки персональных данных;
- настоящая Политика и локальные акты по вопросам обработки персональных данных утверждены и опубликованы;
- доступ к персональным данным имеют только Оператор и лица, которым доступ необходим для исполнения обязанностей, с обязательством о неразглашении;
- обмен данными между браузером посетителя и Сайтом защищён протоколом HTTPS (TLS);
- журнал обращений хранится на сервере в Российской Федерации с ограничением прав доступа на уровне операционной системы; административные функции защищены аутентификацией;
- применяются средства защиты от автоматизированной отправки форм и ограничение частоты запросов;
- ведётся учёт носителей персональных данных, определены сроки хранения и порядок уничтожения; уничтожение подтверждается актом (Приказ Роскомнадзора от 28.10.2022 № 179);
- определены угрозы безопасности и уровень защищённости информационной системы в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119;
- проводится внутренний контроль соответствия обработки персональных данных требованиям законодательства.
7.2. В случае выявления неправомерной передачи (утечки) персональных данных Оператор в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте, а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона о персональных данных).
8. Уничтожение персональных данных
8.1. Персональные данные уничтожаются по достижении целей обработки, при утрате необходимости в их достижении, по истечении срока хранения, при отзыве согласия (если нет иных оснований для обработки), а также по требованию субъекта или уполномоченного органа.
8.2. Уничтожение записей в электронных журналах производится удалением записи без возможности восстановления; бумажные документы уничтожаются способом, исключающим восстановление. Факт уничтожения оформляется актом (при обработке без средств автоматизации) или выгрузкой из журнала регистрации событий (при автоматизированной обработке), которые хранятся 3 года.
9. Заключительные положения
9.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией. Дата и номер редакции указываются в начале документа.
9.2. Все отношения, связанные с обработкой персональных данных и не отражённые в настоящей Политике, регулируются законодательством Российской Федерации.
9.3. Вопросы по настоящей Политике направляйте Оператору по каналам, указанным в п. 1.4.