Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — «Политика») является публичным документом Общества с ограниченной ответственностью «Смарт Тим Сервис» и определяет политику Оператора в отношении обработки персональных данных, сведения о реализуемых требованиях к защите персональных данных, а также порядок и условия их обработки.

1.2. Политика разработана и подлежит опубликованию во исполнение обязанности, установленной частью 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ»), в соответствии с:

• Конституцией Российской Федерации (ст. 23, 24);
• Законом № 152-ФЗ;
• Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• Приказом Роскомнадзора от 24.02.2021 № 18 (требования к содержанию согласия на обработку персональных данных, разрешённых субъектом для распространения);
• Приказом Роскомнадзора от 28.10.2022 № 179 (порядок подтверждения уничтожения персональных данных);
• Приказом ФСТЭК России от 18.02.2013 № 21;
• иными нормативными правовыми актами Российской Федерации, действующими в сфере обработки и защиты персональных данных.

1.3. Сведения об Операторе (в объёме, соответствующем требованиям п. 1 ч. 3 ст. 22 Закона № 152-ФЗ):

(далее — «Оператор», «Компания»).

1.4. Политика распространяется на обработку персональных данных, полученных Оператором:

• а) через форму обратной связи и иные интерактивные элементы сайта https://smart-ts.ru (далее — «Сайт»);
• б) посредством электронной почты и средств связи, указанных на Сайте.

1.5. Политика не распространяется на:

• а) обработку персональных данных работников Оператора и лиц, претендующих на трудоустройство (регулируется отдельным локальным нормативным актом с учётом главы 14 Трудового кодекса РФ);
• б) действия и информационные ресурсы третьих лиц, ссылки на которые могут размещаться на Сайте.

1.6. Оператор обеспечивает неограниченный доступ к настоящей Политике посредством её постоянного размещения на Сайте в форме, обеспечивающей возможность ознакомления без ограничений и без необходимости регистрации.

2. Термины и определения

Термины используются в значениях, установленных статьей 3 Закона № 152-ФЗ:

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

2.3. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.4. Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.

2.5. Распространение — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

2.6. Предоставление — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

2.7. Блокирование — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

2.8. Уничтожение — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

2.9. Обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

2.10. Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

2.11. Пользователь — физическое лицо (субъект персональных данных), использующее Сайт и (или) направляющее Оператору свои персональные данные через Сайт.

3. Принципы обработки персональных данных

3.1. Обработка персональных данных осуществляется Оператором на основе принципов:

• 3.1.1. обработка осуществляется на законной и справедливой основе;
• 3.1.2. обработка ограничивается достижением конкретных, заранее определённых и законных целей; не допускается обработка, несовместимая с целями сбора персональных данных;
• 3.1.3. не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• 3.1.4. обработке подлежат только те персональные данные, которые отвечают целям их обработки;
• 3.1.5. содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки; обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям;
• 3.1.6. при обработке обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях — актуальность по отношению к целям обработки; Оператор принимает необходимые меры либо обеспечивает их принятие по удалению или уточнению неполных или неточных данных;
• 3.1.7. хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• 3.1.8. обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

4. Условия и правовые основания обработки персональных данных

4.1. Оператор обрабатывает персональные данные при наличии хотя бы одного из условий, предусмотренных частью 1 статьи 6 Закона № 152-ФЗ, а именно:

• 4.1.1. обработка осуществляется с согласия субъекта персональных данных на обработку его персональных данных — основное правовое основание для данных, получаемых через Сайт;
• 4.1.2. обработка необходима для исполнения полномочий и обязанностей, возложенных на Оператора законодательством Российской Федерации;
• 4.1.3. обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных;
• 4.1.4. обработка необходима для осуществления прав и законных интересов Оператора или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

4.2. Согласие на обработку персональных данных предоставляется субъектом персональных данных свободно, своей волей и в своём интересе. Согласие является конкретным, предметным, информированным, сознательным и однозначным и оформляется в виде, позволяющем подтвердить факт его получения.

4.3. Согласие на обработку персональных данных в целях, не связанных с рассмотрением обращения Пользователя (в том числе на получение рекламных и информационных сообщений), запрашивается отдельно от иных согласий и не является условием рассмотрения обращения. Отказ Пользователя от предоставления такого согласия не влечёт для него негативных последствий, включая отказ в рассмотрении обращения или в предоставлении информации об услугах Оператора.

4.4. Оператор не обрабатывает персональные данные, разрешённые субъектом для распространения, и не осуществляет распространение персональных данных Пользователей.

4.5. Оператор не осуществляет обработку специальных категорий персональных данных и биометрических персональных данных.

4.6. Сайт не предназначен для использования несовершеннолетними лицами. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних. При выявлении факта поступления таких данных они подлежат уничтожению.

5. Категории субъектов и состав обрабатываемых персональных данных

5.1. Категории субъектов персональных данных:

• 5.1.1. пользователи Сайта, направившие обращение (заявку) через форму обратной связи, включая физических лиц, действующих от имени и в интересах представляемых ими организаций (представители потенциальных и действующих контрагентов);
• 5.1.2. лица, подписавшиеся на информационную рассылку Оператора (при её осуществлении).

5.2. Состав персональных данных, обрабатываемых при заполнении формы обратной связи:

5.3. Оператор не запрашивает и не требует предоставления сведений о документах, удостоверяющих личность, паспортных данных, адреса регистрации, ИНН, СНИЛС и иных данных, не соответствующих целям обработки.

5.4. Оператор не проверяет достоверность предоставленных Пользователем персональных данных, исходя из добросовестности Пользователя. Пользователь самостоятельно несёт ответственность за достоверность предоставленных сведений, а также за наличие правового основания для передачи Оператору персональных данных третьих лиц, если такие данные указываются в обращении.

6. Цели обработки персональных данных

6.1. Обработка персональных данных осуществляется исключительно в следующих конкретных, заранее определённых и законных целях:

6.2. Обработка персональных данных в целях, не указанных в пункте 6.1, не осуществляется.

6.3. Оператор не осуществляет объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой (ч. 3 ст. 5 Закона № 152-ФЗ).

7. Порядок и условия обработки персональных данных

7.1. Обработка персональных данных осуществляется Оператором:

• а) с использованием средств автоматизации — в информационных системах Оператора;
• б) без использования средств автоматизации — с соблюдением требований Постановления Правительства РФ от 15.09.2008 № 687.

7.2. Перечень действий (операций) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) в случаях, предусмотренных разделом 8 Политики, обезличивание, блокирование, удаление, уничтожение.

7.3. Персональные данные получаются Оператором непосредственно от субъекта персональных данных путём их самостоятельного внесения Пользователем в поля формы обратной связи на Сайте либо направления по указанным на Сайте каналам связи. Оператор не получает персональные данные Пользователей из открытых источников и не приобретает их у третьих лиц.

7.4. Базы данных, содержащие персональные данные граждан Российской Федерации, собираемые через Сайт, находятся на территории Российской Федерации в соответствии с требованием части 5 статьи 18 Закона № 152-ФЗ.

7.5. Оператор не принимает решений, порождающих юридические последствия в отношении Пользователя или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки его персональных данных.

7.6. Оператор и его работники, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом. Работники Оператора, допущенные к обработке персональных данных, подписывают обязательство о неразглашении.

7.7. В случае выявления неточных персональных данных или неправомерной обработки Оператор осуществляет блокирование данных на период проверки. Оператор уточняет персональные данные в срок, не превышающий 7 (семи) рабочих дней со дня представления субъектом персональных данных сведений, подтверждающих их неточность, и снимает блокирование.

7.8. В случае выявления неправомерной обработки персональных данных Оператор в срок, не превышающий 3 (трёх) рабочих дней с даты выявления, прекращает неправомерную обработку. Если обеспечить правомерность обработки невозможно, Оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки, уничтожает такие персональные данные.

7.9. В случае достижения цели обработки персональных данных Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого является субъект персональных данных, либо федеральным законом.

7.10. В случае отзыва субъектом персональных данных согласия на обработку Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 (тридцати) дней с даты поступления отзыва, если сохранение персональных данных не требуется для целей обработки, осуществляемой на иных законных основаниях.

7.11. Уничтожение персональных данных подтверждается актом об уничтожении персональных данных и (или) выгрузкой из журнала регистрации событий в информационной системе персональных данных, оформляемыми в соответствии с требованиями Приказа Роскомнадзора от 28.10.2022 № 179. Указанные документы подлежат хранению Оператором в течение 3 (трёх) лет с момента уничтожения персональных данных.

7.12. При невозможности уничтожения персональных данных в установленные сроки Оператор осуществляет блокирование таких персональных данных и обеспечивает их уничтожение в срок не более 6 (шести) месяцев, если иной срок не установлен федеральными законами.

8. Передача персональных данных. Поручение обработки

8.1. Оператор не осуществляет продажу персональных данных, не размещает их в открытых источниках и не распространяет неопределённому кругу лиц.

8.2. Оператор вправе поручить обработку персональных данных другому лицу на основании заключаемого с этим лицом договора (поручения) в соответствии с частью 3 статьи 6 Закона № 152-ФЗ без получения дополнительного согласия субъекта персональных данных. Договор поручения содержит: перечень персональных данных и действий (операций) с ними, цели обработки, обязанность лица, осуществляющего обработку по поручению, соблюдать конфиденциальность и обеспечивать безопасность персональных данных, требования к защите обрабатываемых персональных данных, обязанность по требованию Оператора прекратить обработку и уничтожить персональные данные.

8.3. Категории лиц, которым может быть поручена обработка:

• 1. Провайдер услуг хостинга и размещения Сайта с целью хранения данных, обеспечения работы Сайта.
• 2. Оператор CRM-системы / системы учёта обращений с целью учёта и обработки обращений.
• 3. Оператор сервиса рассылки электронной почты с целью направления сообщений Пользователям.
• 4. Оператор системы веб-аналитики с целью сбора и анализа статистики посещений.
• 5. Лица, оказывающие услуги технической поддержки и доработки Сайта с целью обеспечения работоспособности Сайта.

8.4. Лицо, осуществляющее обработку по поручению Оператора, не обязано получать согласие субъекта персональных данных и не вправе обрабатывать персональные данные в собственных целях. Ответственность перед субъектом персональных данных за действия указанного лица несёт Оператор.

8.5. Персональные данные могут быть предоставлены государственным органам, органам местного самоуправления, суду, органам следствия и дознания, иным уполномоченным органам — на основании мотивированного запроса, в объёме и порядке, установленных законодательством Российской Федерации.

8.6. Трансграничная передача персональных данных Оператором не осуществляется. В случае возникновения необходимости трансграничной передачи персональных данных Оператор до её начала направляет в Роскомнадзор уведомление в порядке, установленном статьёй 12 Закона № 152-ФЗ. Трансграничная передача на территории государств, не обеспечивающих надлежащую защиту прав субъектов персональных данных, допускается исключительно при наличии оснований, предусмотренных частью 4 статьи 12 Закона № 152-ФЗ.

9. Права субъекта персональных данных и порядок их реализации

9.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в объёме, установленном частью 7 статьи 14 Закона № 152-ФЗ, в том числе:

• а) подтверждение факта обработки персональных данных Оператором;
• б) правовые основания и цели обработки персональных данных;
• в) цели и применяемые Оператором способы обработки персональных данных;
• г) наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;
• д) обрабатываемые персональные данные, относящиеся к соответствующему субъекту, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;
• е) сроки обработки персональных данных, в том числе сроки их хранения;
• ж) порядок осуществления субъектом персональных данных прав, предусмотренных Законом № 152-ФЗ;
• з) информацию об осуществлённой или о предполагаемой трансграничной передаче данных;
• и) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Оператора, если обработка поручена или будет поручена такому лицу;
• к) иные сведения, предусмотренные Законом № 152-ФЗ или другими федеральными законами.

9.2. Субъект персональных данных вправе:

• 9.2.1. требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• 9.2.2. отозвать согласие на обработку персональных данных;
• 9.2.3. возражать против обработки персональных данных в целях продвижения товаров, работ, услуг на рынке; при получении такого требования Оператор обязан немедленно прекратить обработку персональных данных в указанных целях;
• 9.2.4. обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• 9.2.5. на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

9.3. Порядок направления запроса. Запрос (обращение) направляется Оператору:

• по адресу электронной почты: info@smart-ts.ru;
• в письменной форме по почтовому адресу: г. Москва, Краснопресненская наб., д. 12, подъезд 6, офис 524.

9.4. В соответствии с частью 3 статьи 14 Закона № 152-ФЗ запрос должен содержать:

• а) номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• б) сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (в том числе адрес электронной почты, указанный при заполнении формы, и приблизительную дату обращения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
• в) подпись субъекта персональных данных или его представителя.

Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.

9.5. Сроки рассмотрения. Оператор предоставляет субъекту персональных данных запрашиваемую информацию либо мотивированный отказ в срок, не превышающий 10 (десяти) рабочих дней с даты получения запроса. Указанный срок может быть продлён, но не более чем на 5 (пять) рабочих дней, при направлении субъекту персональных данных мотивированного уведомления с указанием причин продления.

9.6. Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в случаях, предусмотренных частью 8 статьи 14 Закона № 152-ФЗ.

9.7. Для отзыва согласия достаточно направить обращение по адресам, указанным в пункте 9.3, с указанием фамилии, имени, отчества, адреса электронной почты, использованного при заполнении формы, и требования о прекращении обработки персональных данных. Отзыв согласия не требует обоснования причин.

9.8. Отказ от рассылки дополнительно может быть осуществлён путём перехода по ссылке «Отписаться», содержащейся в каждом информационном сообщении Оператора.

10. Меры по обеспечению безопасности персональных данных

10.1. Оператор принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ, в соответствии со статьёй 18.1 указанного закона, в том числе:

• 10.1.1. назначил лицо, ответственное за организацию обработки персональных данных;
• 10.1.2. издал документы, определяющие политику в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства, устранение последствий таких нарушений;
• 10.1.3. применяет правовые, организационные и технические меры по обеспечению безопасности персональных данных в соответствии со статьёй 19 Закона № 152-ФЗ;
• 10.1.4. осуществляет внутренний контроль соответствия обработки персональных данных Закону № 152-ФЗ и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, локальным актам Оператора;
• 10.1.5. осуществляет оценку вреда, который может быть причинён субъектам персональных данных в случае нарушения Закона № 152-ФЗ, соотношение указанного вреда и принимаемых Оператором мер;
• 10.1.6. ознакомил работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, и осуществляет обучение указанных работников.

10.2. В соответствии со статьёй 19 Закона № 152-ФЗ Оператор применяет следующие меры по обеспечению безопасности персональных данных:

• 10.2.1. определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• 10.2.2. определение уровня защищённости персональных данных при их обработке в информационных системах в соответствии с Постановлением Правительства РФ от 01.11.2012 № 1119 и применение соответствующих организационных и технических мер;
• 10.2.3. применение средств защиты информации, прошедших процедуру оценки соответствия в установленном порядке (в объёме, необходимом для установленного уровня защищённости);
• 10.2.4. использование защищённого протокола передачи данных (HTTPS/TLS) при передаче персональных данных через формы Сайта;
• 10.2.5. установление правил доступа к персональным данным, обрабатываемым в информационных системах, а также обеспечение регистрации и учёта всех действий, совершаемых с персональными данными;
• 10.2.6. ведение учёта лиц, допущенных к обработке персональных данных, разграничение прав доступа по принципу минимально необходимых полномочий;
• 10.2.7. обеспечение резервного копирования и возможности восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа;
• 10.2.8. обнаружение факта несанкционированного доступа к персональным данным и принятие мер по недопущению повторных инцидентов;
• 10.2.9. оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• 10.2.10. контроль за принимаемыми мерами по обеспечению безопасности и уровнем защищённости информационных систем персональных данных.

10.3. Реагирование на инциденты. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор в соответствии с частью 3.1 статьи 21 Закона № 152-ФЗ уведомляет Роскомнадзор:

• а) в течение 24 часов с момента выявления такого инцидента — о произошедшем инциденте, о предполагаемых причинах и предполагаемом вреде, о принятых мерах по устранению последствий, а также сведения о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом;
• б) в течение 72 часов с момента выявления такого инцидента — о результатах внутреннего расследования выявленного инцидента, а также сведения о лицах, действия которых стали причиной инцидента (при наличии).

10.4. Оператор информирует Пользователей, что передача информации по сети «Интернет» не может быть гарантированно защищена от неправомерных действий третьих лиц, в связи с чем рекомендует не указывать в свободных полях формы сведения, не требующиеся для рассмотрения обращения.

11. Ответственность

11.1. Лица, виновные в нарушении требований Закона № 152-ФЗ, несут предусмотренную законодательством Российской Федерации ответственность, в том числе гражданско-правовую, административную и уголовную.

11.2. Оператор не несёт ответственности за:

• 11.2.1. действия третьих лиц, получивших доступ к персональным данным Пользователя вследствие действий или бездействия самого Пользователя;
• 11.2.2. последствия предоставления Пользователем недостоверных или неполных персональных данных;
• 11.2.3. правомерность передачи Пользователем Оператору персональных данных третьих лиц.

12. Заключительные положения

12.1. Настоящая Политика утверждается приказом руководителя Оператора и вводится в действие с даты, указанной в приказе.

12.2. Политика подлежит пересмотру и (или) актуализации в случае изменения законодательства Российской Федерации, изменения состава обрабатываемых персональных данных, целей, способов, сроков обработки, состава используемых сервисов и лиц, осуществляющих обработку по поручению Оператора, а также по результатам внутреннего контроля — но не реже одного раза в год.

12.3. Пользователю рекомендуется периодически ознакомляться с текстом Политики. В случае внесения в Политику изменений, затрагивающих состав обрабатываемых персональных данных или цели их обработки, Оператор уведомляет Пользователей посредством размещения новой редакции Политики на Сайте с указанием даты вступления в силу и, при необходимости, запрашивает новое согласие субъекта персональных данных. При внесении изменений, не затрагивающих указанные параметры, Оператор ограничивается обновлением текста Политики.

12.4. Вопросы, связанные с обработкой персональных данных и не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.