Политика обработки персональных данных

1. Термины и определения

2. Общие положения

2.1. Настоящая Политика определяет порядок сбора, использования, хранения и защиты ПДн физических лиц, которые используют Сайт, регистрируются на Сайте, оставляют отзывы, оценки, фотографии, подписываются на внутренние рассылки, связываются с Оператором через формы обратной связи или иным образом взаимодействуют с Оператором. Политика применяется ко всей информации, которую Оператор может получить о посетителях Сайта.

2.2. Политика разработана в соответствии с Конституцией РФ, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе», Постановлением Правительства РФ от 01.11.2012 № 1119, Приказом ФСТЭК России от 18.02.2013 № 21, Постановлением Правительства РФ от 15.09.2008 № 687 и иными нормативными правовыми актами РФ в области обработки и защиты ПДн.

2.3. Политика не регулирует обработку ПДн работников Оператора по причине их отсутствия. Административный доступ ко всей системе, управление инфраструктурой, базой данных, резервное копирование, имеет Оператор. Функции ответственного за организацию обработки ПДн выполняет Оператор самостоятельно.

2.4. Политика не охватывает отношения, на которые не распространяется действие ФЗ-152, п. 2 ст. 1 ФЗ-152.

2.5. Простое использование Сайта, просмотр страниц, не влечет обработку ПДн, кроме технически необходимых cookie.

2.6. Заполнение и отправка форм на Сайте, регистрация означают, что Пользователь ознакомился с настоящей Политикой и выражает согласие на обработку своих ПДн на изложенных условиях. Согласие на обработку ПДн оформляется отдельным документом в соответствии с требованиями ч. 1 ст. 9 ФЗ-152. Подтверждением ознакомления с Политикой и предоставления согласия является проставление отметки, чек-бокса, в соответствующем поле, при этом чек-бокс не активирован по умолчанию. Если Пользователь не согласен с условиями, ему не следует отправлять формы или использовать сервисы, требующие предоставления ПДн.

2.7. Оператор исходит из того, что Пользователь предоставляет достоверные сведения, и не проводит их самостоятельной проверки. За актуальность ПДн отвечает сам Пользователь.

2.8. Сайт и услуги не предназначены для сбора ПДн несовершеннолетних. Использование Сайта разрешено исключительно лицам, достигшим 18 лет. Если Оператору станет известно, что предоставлены данные несовершеннолетнего без согласия законных представителей, такие данные будут незамедлительно уничтожены.

3. Правовые основания обработки ПДн

3.1. Правовыми основаниями обработки ПДн являются:

3.1.1. Согласие субъекта ПДн на обработку его ПДн, п. 1 ч. 1 ст. 6 ФЗ-152. Данное согласие запрашивается для следующих целей: регистрация и вход в аккаунт, восстановление доступа; ответы на обращения пользователей; анализ посещаемости и улучшение работы Сайта, Яндекс.Метрика; направление рекламных и информационных рассылок, при наличии отдельного согласия; обработка данных, предоставляемых через формы обратной связи.

3.1.2. Согласие на распространение, ст. 10.1 ФЗ-152. Данное согласие запрашивается для цели публикации отзывов, оценок и фотографий от имени Пользователя. Согласие оформляется отдельно от иных согласий, содержит перечень ПДн, разрешенных к распространению, а также условия и запреты, установленные субъектом.

3.1.3. Исполнение договора, стороной которого является субъект ПДн, п. 5 ч. 1 ст. 6 ФЗ-152. Договором является Пользовательское соглашение. Применяется для обработки ПДн, необходимых для: обеспечения функционирования Сайта, включая модерацию; уведомления о событиях, связанных с аккаунтом.

3.1.4. Осуществление прав и законных интересов Оператора, п. 7 ч. 1 ст. 6 ФЗ-152. Применяется для предотвращения мошенничества и обеспечения безопасности Сайта.

3.2. Оператор осуществляет фиксацию, логирование, фактов предоставления, отзыва или изменения согласий субъектов ПДн на обработку их ПДн. Фиксация производится автоматически при совершении Пользователем соответствующих действий, проставление отметки в чек-боксе, нажатие кнопки в интерфейсе Сайта, переход по ссылке «Отписаться» и т.п. Срок хранения логов согласий - 3, три, года после прекращения действия согласия.

4. Цели обработки ПДн

Оператор обрабатывает ПДн строго для следующих заранее определенных и законных целей. Для каждой цели ниже указаны описание цели, правовое основание, категории и перечень обрабатываемых ПДн, категории субъектов ПДн, способы обработки, срок обработки и хранения, а также порядок уничтожения ПДн. Сводный перечень целей, сроков, способов обработки ПДн, категорий субъектов и обрабатываемых ПДн приведен в Приложении к настоящей Политике.

4.1. Цель. Регистрация и вход в аккаунт, восстановление доступа

• Описание цели: создание и администрирование учетной записи Пользователя, предоставление доступа к функционалу Сайта, идентификация Пользователя, обеспечение безопасности учетной записи, предоставление возможности восстановления доступа.
• Правовое основание: согласие субъекта ПДн, п. 1 ч. 1 ст. 6 ФЗ-152.
• Категории и перечень обрабатываемых ПДн: email, имя, хеш пароля, цвет аватара, район.
• Категории субъектов ПДн: зарегистрированные Пользователи Сайта.
• Способы обработки: смешанная.
• Срок обработки и хранения: до момента удаления учетной записи Пользователем. При удалении аккаунта данные уничтожаются в течение 30 календарных дней, за исключением сведений, подлежащих более длительному хранению в силу закона.
• Порядок уничтожения ПДн: электронные данные - гарантированное стирание, перезапись, с использованием специализированного ПО.

4.2. Цель. Публикация отзывов, оценок и фотографий от имени Пользователя

• Описание цели: предоставление Пользователю возможности публиковать отзывы, оценки, фотографии заведений и товаров, а также отображать их в публичном профиле.
• Правовое основание: согласие на распространение, ст. 10.1 ФЗ-152.
• Категории и перечень обрабатываемых ПДн: имя, район, отзывы, оценки, уровень; фото товара, после одобрения - всем.
• Категории субъектов ПДн: зарегистрированные Пользователи Сайта.
• Способы обработки: смешанная.
• Срок обработки и хранения: до удаления учетной записи или до удаления соответствующего контента пользователем либо модератором.
• Порядок уничтожения ПДн: электронные данные - гарантированное стирание, перезапись.

4.3. Цель. Обеспечение функционирования Сайта, включая модерацию, и уведомления о событиях, связанных с аккаунтом

• Описание цели: проверка отзывов, оценок, фотографий, жалоб на соответствие правилам Сайта, предотвращение публикации противоправного контента, мата, оскорблений, рекламы, защита от автоматизированных атак, спама, накрутки рейтингов, обеспечение стабильной работы Сайта и его сервисов, а также направление зарегистрированным Пользователям уведомлений, связанных с работой Сайта, изменениями в правилах, новыми функциями.
• Правовое основание: исполнение договора, п. 5 ч. 1 ст. 6 ФЗ-152.
• Категории и перечень обрабатываемых ПДн: IP в момент отзыва и регистрации, в базе только хеш, не сам адрес; сырой IP уходит в Яндекс SmartCaptcha, если включены ключи; жалоба: причина и комментарий; фото товара; email, имя; рассылки внутри сайта.
• Категории субъектов ПДн: все пользователи Сайта; зарегистрированные Пользователи Сайта.
• Способы обработки: смешанная.
• Срок обработки и хранения: IP-адрес, в виде хеша, - не более 1 года; жалоба: причина и комментарий - 1 год с момента рассмотрения; email, имя, рассылки внутри сайта - до отписки пользователя или удаления аккаунта.
• Порядок уничтожения ПДн: автоматическое удаление или перезапись по истечении сроков; удаление данных из базы рассылки без возможности восстановления.

4.4. Цель. Предотвращение мошенничества и обеспечение безопасности

• Описание цели: защита Сайта от автоматизированных атак, спама, накрутки рейтингов, несанкционированного доступа, а также обеспечение стабильной работы Сайта.
• Правовое основание: законный интерес Оператора, п. 7 ч. 1 ст. 6 ФЗ-152.
• Категории и перечень обрабатываемых ПДн: IP-адрес, в виде хеша; технические данные устройства и браузера, User-Agent; идентификаторы строго необходимых cookie; логи сервера.
• Категории субъектов ПДн: все пользователи Сайта.
• Способы обработки: автоматизированная.
• Срок обработки и хранения: логи сервера - не более 6 месяцев; сессионные cookie - до закрытия браузера; иные технические cookie - не более 30 суток.
• Порядок уничтожения ПДн: автоматическое удаление или перезапись по истечении сроков.

4.5. Цель. Ответы на обращения пользователей

• Описание цели: связь с Пользователем для ответа на вопросы, обработки обращений через формы на Сайте, по электронной почте, в мессенджерах.
• Правовое основание: согласие субъекта ПДн, п. 1 ч. 1 ст. 6 ФЗ-152.
• Категории и перечень обрабатываемых ПДн: имя, или ФИО, если указано; адрес электронной почты; текст обращения; история переписки.
• Категории субъектов ПДн: лица, обратившиеся через формы обратной связи, по электронной почте, в мессенджерах.
• Способы обработки: смешанная.
• Срок обработки и хранения: 1, один, год с момента последнего взаимодействия, но не менее срока существования аккаунта, если обращение связано с аккаунтом.
• Порядок уничтожения ПДн: удаление данных без возможности восстановления.

4.6. Цель. Направление рекламных и информационных рассылок

• Описание цели: информирование Пользователей о новостях Сайта, акциях, специальных предложениях, новых функциях и возможностях, иных событиях, связанных с деятельностью Оператора. Рассылки осуществляются исключительно инструментарием Сайта, без привлечения сторонних сервисов и без передачи ПДн третьим лицам для целей рассылок.
• Правовое основание: согласие субъекта ПДн, п. 1 ч. 1 ст. 6 ФЗ-152, предоставляемое отдельно через неактивированный по умолчанию чек-бокс.
• Категории и перечень обрабатываемых ПДн: фамилия, имя, отчество, при наличии; адрес электронной почты; номер телефона.
• Категории субъектов ПДн: зарегистрированные Пользователи Сайта, давшие отдельное согласие на получение рассылок.
• Способы обработки: автоматизированная.
• Срок обработки и хранения: до момента отзыва согласия. После получения отзыва или команды "Отписаться" соответствующая запись удаляется из базы рассылки в течение 30, тридцати, календарных дней.
• Порядок уничтожения ПДн: удаление данных из базы рассылки без возможности восстановления.

4.7. Цель. Анализ посещаемости и улучшение работы Сайта, Яндекс.Метрика

• Описание цели: сбор обезличенных статистических данных о посещаемости, действиях пользователей, источниках переходов для оценки эффективности и оптимизации Сайта.
• Правовое основание: согласие субъекта ПДн, п. 1 ч. 1 ст. 6 ФЗ-152, предоставляемое через cookie-баннер.
• Категории и перечень обрабатываемых ПДн: обезличенный IP-адрес, с анонимизацией; тип и версия браузера, ОС, разрешение экрана; идентификаторы cookie; просмотренные страницы, время, клики; приблизительные географические данные, страна, город.
• Категории субъектов ПДн: посетители Сайта, при наличии согласия.
• Способы обработки: автоматизированная.
• Срок обработки и хранения: до отзыва согласия. Срок жизни cookie на устройстве Пользователя: для основных идентификаторов (_ym_uid, _ym_d) - 1 год; для _ym_isad - 2 дня; для служебных cookie Метрики (например, _ym_visorc) - 30 минут. Данные, собранные сервисом Яндекс.Метрика, хранятся на стороне ООО «Яндекс» до 26 месяцев с момента сбора, после чего автоматически обезличиваются или удаляются. Отчеты, полученные Оператором от сервиса, хранятся не более 6 месяцев и уничтожаются.
• Порядок уничтожения ПДн: автоматическое обезличивание или удаление сервисом Яндекс.Метрика по истечении срока хранения; отчеты уничтожаются Оператором.

4.8. Оператор не обрабатывает специальные категории ПДн, о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, а также биометрические ПДн.

4.9. Платежные реквизиты, номера банковских карт, через Сайт не собираются и не хранятся. Оплата на Сайте не производится.

5. Категории субъектов ПДн

5.1. Оператор обрабатывает ПДн следующих категорий субъектов:

• зарегистрированные Пользователи Сайта - физические лица, создавшие учетную запись;
• незарегистрированные пользователи, гости, - лица, посещающие Сайт без регистрации;
• лица, направившие обращение через форму обратной связи;
• подписчики внутренних рассылок;
• лица, упомянутые в отзывах, представители заведений, товаров, брендов.

6. Механизмы получения согласия

6.1. Для сбора согласия Оператор использует следующие механизмы, обеспечивающие добровольность, конкретность и информированность согласия:

6.1.1. Для форм на Сайте, регистрация, публикация отзыва, обратная связь:

Пользователь отмечает неактивированный по умолчанию чек-бокс с текстом: «Я даю согласие на обработку моих ПДн в соответствии с Политикой обработки персональных данных», с активной гиперссылкой на полный текст Политики. Без отметки отправка формы технически невозможна.

6.1.2. Для согласия на распространение отзывов:

при публикации отзыва, содержащего ПДн, запрашивается отдельное согласие на обработку ПДн, разрешенных субъектом для распространения.

6.1.3. Для рекламных и информационных рассылок:

согласие запрашивается через отдельный, неактивированный по умолчанию чек-бокс в форме регистрации или в личном кабинете с текстом, явно описывающим суть согласия, например: «Я согласен получать информационные и рекламные сообщения о новостях Сайта, акциях и специальных предложениях». Данное согласие не является обязательным для регистрации и использования основных функций Сайта. Пользователь может в любой момент отозвать его, кликнув по ссылке «Отписаться» в любом полученном уведомлении или направив запрос на электронную почту Оператора. Рассылки осуществляются исключительно инструментарием Сайта, без привлечения сторонних сервисов.

6.1.4. Для аналитических cookie, Яндекс.Метрика:

при первом посещении Сайта отображается cookie-баннер, запрашивающий отдельное, явное согласие на использование необязательных аналитических файлов cookie и загрузку соответствующих скриптов. Согласие на аналитику не является обязательным для использования основных функций Сайта. Механизмы работы cookie-баннера подробно описаны в разделе «Файлы cookie и аналитические сервисы» настоящей Политики.

7. Порядок и условия обработки ПДн

7.1. Оператор обрабатывает ПДн исключительно для целей, прямо перечисленных в настоящей Политике. Обрабатываются только данные, которые действительно необходимы для конкретной цели, принцип минимизации. Содержание и объем данных всегда строго соответствуют поставленной задаче.

7.2. Оператор следит за точностью и полнотой данных. Если Пользователь заметил ошибку, ему достаточно сообщить об этом, и Оператор обновит или удалит неверную информацию.

7.3. Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение, обновление, изменение, извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории Российской Федерации.

7.4. Обработка включает полный цикл действий: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление, уничтожение ПДн. Используются автоматизированные и неавтоматизированные способы.

7.5. При обработке ПДн без использования средств автоматизации Оператор руководствуется требованиями Постановления Правительства РФ от 15.09.2008 № 687.

7.6. Субъект ПДн самостоятельно решает, предоставлять ли свои ПДн, и дает согласие свободно, своей волей и в своем интересе. Часть запрашиваемых ПДн, email, имя, пароль, является обязательной для достижения заявленных целей. При отказе предоставить эти данные Оператор не сможет зарегистрировать Пользователя или предоставить доступ к функциям Сайта.

7.7. Оператор не принимает решений, порождающих юридические последствия, на основании исключительно автоматизированной обработки ПДн.

8. Сроки обработки и хранения ПДн

8.1. Обработка ПДн прекращается при достижении целей обработки, истечении срока действия согласия, а также при отзыве согласия.

8.2. Условиями прекращения обработки ПДн могут являться: достижение целей обработки ПДн; отзыв согласия Субъектом; выявление неправомерной обработки ПДн; прекращение деятельности Оператора; истечение установленных законодательством сроков хранения документов, содержащих ПДн.

8.3. Конкретные сроки хранения ПДн:

• Данные зарегистрированных пользователей, email, имя, хеш пароля, цвет аватара, район, - до удаления аккаунта либо 3 года после последней активности. При удалении аккаунта данные уничтожаются в течение 30 календарных дней, за исключением сведений, подлежащих более длительному хранению в силу закона.
• Публичный профиль, имя, район, отзывы, оценки, уровень, - до удаления учетной записи или до удаления соответствующего контента.
• Избранное, голоса "полезно" - до удаления учетной записи.
• Cookie lok_session - 30 дней с момента последнего входа.
• Cookie city - 1 год.
• localStorage, недавний поиск и "полезно" у гостя, - хранится в браузере пользователя, срок определяется настройками браузера, на сервер не передается.
• IP-адрес, в виде хеша, - не более 1 года.
• Геолокация браузера - координаты обрабатываются в момент запроса "рядом со мной" и не сохраняются на сервере после формирования ответа.
• Жалоба: причина и комментарий - 1 год с момента рассмотрения.
• Фото товара - до удаления заявки или до отзыва согласия, но не более 3 лет.
• Рассылки внутри сайта - до отписки пользователя или удаления аккаунта.
• Данные для рекламных и информационных рассылок, фамилия, имя, отчество, email, номер телефона, - до момента отзыва согласия. После получения отзыва или команды "Отписаться" запись удаляется из базы рассылки в течение 30 календарных дней.
• Данные из формы обратной связи - 1 год с момента последнего взаимодействия, но не менее срока существования аккаунта, если обращение связано с аккаунтом.
• Данные, распространяемые в отзыве, имя или псевдоним, текст отзыва, оценка, дата, фотография, - до отзыва согласия на распространение. При отзыве согласия отзыв удаляется с Сайта в течение 3 рабочих дней.
• Телефоны, почта, соцсети заведений - импортируются из OpenStreetMap и отображаются на карточке места; срок хранения определяется первоисточником.

8.4. По истечении сроков хранения ПДн подлежат уничтожению или обезличиванию.

9. Порядок блокирования, уточнения и уничтожения ПДн

9.1. Выявление и обращение к Оператору:

Субъект ПДн вправе направить запрос на уточнение своих ПДн при обнаружении неточностей. Запрос направляется на электронный адрес Оператора с пометкой "Актуализация ПДн". В случае выявления неправомерной обработки ПДн Субъект или уполномоченный орган вправе потребовать прекратить такие действия.

9.2. Блокирование ПДн:

при поступлении обращения Субъекта или требования уполномоченного органа о неправомерности обработки Оператор блокирует спорные ПДн с момента получения такого обращения или требования на время проведения проверки. При обнаружении неточностей в ПДн Оператор вправе заблокировать эти данные до завершения их проверки и уточнения, если это не нарушает права и законные интересы Субъекта или третьих лиц. Блокирование ПДн означает временное прекращение любых операций с ними, кроме операции уточнения.

9.3. Уточнение, актуализация, ПДн:

Оператор обязан рассмотреть запрос на уточнение и провести проверку в течение 7, семи, рабочих дней с момента получения от Субъекта подтверждающих документов или информации, необходимой для внесения изменений. В случае подтверждения неточностей Оператор вносит соответствующие изменения в базы данных. После завершения уточнения ПДн их блокирование снимается.

9.4. Прекращение обработки ПДн:

• По отзыву согласия: обработка, основанная на согласии, прекращается, а ПДн уничтожаются в срок, не превышающий 30, тридцати, календарных дней, если иное не предусмотрено законом.
• При выявлении незаконной обработки: Оператор незамедлительно прекращает незаконную обработку ПДн. Сопутствующее уничтожение незаконно обрабатываемых ПДн осуществляется в срок, не превышающий 10, десяти, рабочих дней. Субъект ПДн уведомляется о результатах рассмотрения его обращения и предпринятых мерах.

9.5. Уничтожение ПДн по истечении срока хранения:

документы с истекшим сроком хранения уничтожаются по решению Оператора. Уничтожение электронных данных производится методами, исключающими восстановление, гарантированное стирание с использованием специального программного обеспечения, низкоуровневое форматирование. Если уничтожение невозможно, данные блокируются на 6 месяцев. Составляются протокол, акт и опись уничтожаемых дел. Акт утверждается Оператором лично.

9.6. Прекращение распространения ПДн:

Субъект ПДн вправе в любой момент потребовать прекращения распространения своих ПДн, удаления отзыва. Оператор обязан прекратить распространение в срок, не превышающий 3, трех, рабочих дней с момента получения требования. Требование направляется на электронный адрес Оператора с пометкой "Прекращение распространения ПДн" и должно содержать сведения, позволяющие идентифицировать отзыв, имя или псевдоним, текст отзыва, дата.

10. Права субъектов ПДн и порядок их реализации

10.1. Субъект ПДн имеет право:

• получать информацию, касающуюся обработки его ПДн, включая подтверждение факта обработки, правовые основания, цели, способы, перечень обрабатываемых данных, сроки обработки и порядок осуществления прав;
• требовать уточнения своих ПДн, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать свое согласие на обработку ПДн;
• требовать устранения неправомерных действий Оператора в отношении его ПДн;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов ПДн, Роскомнадзор, или в судебном порядке.

10.2. Для реализации своих прав, отзыва согласия или направления требования о прекращении обработки ПДн Пользователь направляет письменный запрос на электронный адрес Оператора.

10.3. Запрос должен содержать: фамилию, имя, отчество, при наличии; контактный номер телефона или e-mail, указанный при обращении; суть требования, например, "Отзыв согласия на обработку ПДн", "Запрос информации".

10.4. Оператор вправе запросить дополнительные сведения, позволяющие однозначно идентифицировать заявителя, без истребования копий документов, удостоверяющих личность.

10.5. Оператор отвечает на запрос в течение 10, десяти, рабочих дней. В сложных случаях срок может быть продлен, но не более чем на 5, пять, рабочих дней, о чем Пользователь будет уведомлен дополнительно.

10.6. Права субъекта ПДн, предусмотренные законодательством, могут быть ограничены в случаях, установленных федеральными законами, в том числе: обработка ПДн осуществляется в целях обеспечения обороны страны и безопасности государства; обработка ПДн осуществляется органами, осуществившими задержание субъекта ПДн; доступ субъекта ПДн к его ПДн нарушает права и законные интересы третьих лиц; обработка ПДн осуществляется на основании иного правового основания, кроме согласия, например, для исполнения договора или закона, и сохранение данных необходимо для реализации целей такой обработки.

10.7. Удаление адреса электронной почты и иных данных, необходимых для идентификации пользователя на Сайте, может сделать технически невозможным дальнейшее существование личного кабинета и привести к прекращению доступа к материалам.

11. Права и обязанности Оператора

11.1. Оператор имеет право:

• получать от Пользователя достоверные ПДн и обрабатывать их строго в рамках настоящей Политики;
• при отзыве согласия продолжать обработку, если есть иное законное основание, например, для исполнения требований законодательства или защиты прав и законных интересов;
• передавать ПДн третьим лицам, указанным в разделе "Передача ПДн третьим лицам" настоящей Политики, при условии соблюдения ими конфиденциальности;
• самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных ФЗ-152 и принятыми в соответствии с ним нормативными правовыми актами.

11.2. Оператор обязан:

• сделать Политику общедоступной на Сайте;
• организовывать обработку ПДн в порядке, установленном действующим законодательством РФ;
• бесплатно предоставлять Пользователю информацию об обработке его данных по запросу;
• использовать ПДн исключительно для заявленных целей;
• рассматривать и разрешать обращения Пользователей в порядке и сроки, установленные законом;
• принимать необходимые меры для защиты ПДн от несанкционированного доступа, изменения, раскрытия или уничтожения;
• прекращать обработку и уничтожать ПДн в установленных случаях;
• сообщать в уполномоченный орган по защите прав субъектов ПДн по запросу этого органа необходимую информацию в течение 30 календарных дней с даты получения такого запроса;
• своевременно уведомлять Роскомнадзор в случае установления факта неправомерной или случайной передачи ПДн, повлекшей нарушение прав субъектов ПДн, в срок, не превышающий 24 часа с момента обнаружения инцидента;
• исполнять иные обязанности, предусмотренные ФЗ-152.

12. Передача ПДн третьим лицам

12.1. Оператор передает ПДн третьим лицам исключительно для достижения целей, указанных в Политике, и только при условии, что эти лица гарантируют конфиденциальность и безопасность данных. С каждым лицом, обрабатывающим ПДн по поручению Оператора, заключается договор, поручение на обработку ПДн или соглашение о конфиденциальности, обязывающий соблюдать требования законодательства.

12.2. ПДн могут передаваться следующим третьим лицам:

• ООО «Яндекс» - сервис веб-аналитики, Яндекс.Метрика, и сервис защиты от автоматизированных атак, Яндекс SmartCaptcha. Цель передачи: сбор обезличенной статистики посещений, при наличии отдельного согласия, защита форм от спама и ботов. Передаются: обезличенный IP-адрес, cookie-идентификаторы, данные о браузере и устройстве, данные о действиях на Сайте, сырой IP-адрес в момент прохождения капчи.
• Государственные органы - в случаях, предусмотренных законодательством РФ, по мотивированному запросу суда, правоохранительных или налоговых органов.

12.3. Оператор не осуществляет распространение ПДн, передачу неограниченному кругу лиц, за исключением случаев, когда субъект дал отдельное согласие на распространение, например, для публикации отзыва.

12.4. Передача ПДн курьерским службам, платежным партнерам, CRM-системам, сервисам ЭДО не осуществляется. Передача ПДн третьим лицам для целей рекламных и информационных рассылок не осуществляется, рассылки выполняются исключительно инструментарием Сайта.

12.5. Владелец Сайта, Оператор, не видит и не обрабатывает номера расчетных счетов, банковских карт, поскольку оплата на Сайте не проводится.

12.6. Офлайн-договоры с контрагентами, ИП, физическими лицами, в рамках которых Оператор получал бы ИНН, паспортные данные, адрес регистрации, не заключаются.

13. Меры по обеспечению безопасности ПДн

13.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий.

13.2. Организационные меры включают:

• разработку и введение настоящей Политики;
• назначение ответственного за организацию обработки ПДн (сам Оператор);
• обеспечение ограниченного и разграниченного доступа к ПДн;
• учет и хранение материальных носителей, при наличии, в запираемых шкафах, исключающий хищение, подмену, несанкционированное копирование и уничтожение ПДн;
• периодическую оценку вреда, который может быть причинен субъектам ПДн, и принятие адекватных мер для недопущения такого вреда;
• регулярный пересмотр и совершенствование мер защиты с учетом актуальных угроз безопасности;
• обеспечение раздельного хранения ПДн, обрабатываемых в разных целях.

13.3. Технические меры включают:

• использование лицензионного программного обеспечения с актуальными обновлениями безопасности;
• антивирусную защиту информационных систем с использованием лицензионного программного обеспечения и своевременной актуализацией баз;
• межсетевое экранирование для контроля сетевых соединений и блокирования несанкционированного доступа;
• шифрование каналов связи при передаче данных, протокол HTTPS;
• идентификацию и аутентификацию пользователей информационных систем с применением надежных паролей, не менее 8 символов: буквы верхнего и нижнего регистра, цифры, спецсимволы;
• автоматическую блокировку сеанса при бездействии, не более 15 минут, с требованием повторного ввода пароля;
• регулярное резервное копирование баз данных, содержащих ПДн, с хранением резервных копий на отдельных защищенных носителях;
• ведение журналов событий, логов, сервера и приложений с регистрацией всех операций с ПДн, срок хранения логов - 6 месяцев;
• обеспечение физической сохранности серверного оборудования и машинных носителей;
• хранение ПДн на серверах, расположенных на территории Российской Федерации.

13.4. В целях исполнения Постановления Правительства РФ от 01.11.2012 № 1119 Оператор обеспечивает 4-й уровень защищенности ПДн и реализует следующий перечень мер:

• назначено лицо, ответственное за обеспечение безопасности ПДн (сам Оператор);
• утвержден перечень лиц, имеющих административный доступ к ИСПДн (сам Оператор);
• используются средства защиты информации, прошедшие оценку соответствия в установленном порядке, при наличии таких средств;
• определены и применяются меры по обеспечению сохранности машинных носителей ПДн.

13.5. При осуществлении обработки ПДн без использования средств автоматизации Оператор выполняет требования Положения, утвержденного Постановлением Правительства РФ от 15.09.2008 № 687, а именно: определены места хранения материальных носителей ПДн, при их наличии; утвержден перечень лиц, осуществляющих обработку ПДн без использования средств автоматизации, только Оператор.

13.6. При обнаружении факта неправомерной или случайной передачи, предоставления, распространения, доступа, ПДн, повлекшей нарушение прав Пользователей, Оператор обязан:

• в течение 24 часов уведомить Роскомнадзор о факте инцидента;
• в течение 72 часов уведомить Роскомнадзор о результатах внутреннего расследования;
• уведомить Пользователей о факте инцидента, если это не запрещено законом;
• принять меры по устранению последствий инцидента и предотвращению подобных инцидентов в будущем.

14. Файлы cookie и аналитические сервисы

14.1. На Сайте используются следующие типы файлов cookie:

• Технически необходимые, обязательные, файлы cookie - обеспечивают базовую функциональность Сайта, включая безопасность, корректную работу форм, авторизацию. Активны всегда, не требуют согласия.
• Аналитические файлы cookie - используются для сбора и обработки обобщенной статистической информации с целью повышения качества Сайта. К этой категории относится сервис Яндекс.Метрика. Обработка этих данных осуществляется исключительно при наличии отдельного явного согласия Пользователя.

14.2. При первом посещении Сайта в нижней части экрана отображается информационный баннер, cookie-баннер, со следующим текстом: «Для работы сайта мы используем обязательные cookie, которые уже активны и не требуют вашего согласия. Аналитические cookie, Яндекс.Метрика, активируются только после вашего согласия в целях аналитики посещаемости сайта. Подробнее - в Политике обработки персональных данных».

14.3. Баннер содержит следующие кнопки:

• Принять все - активируются все cookie, необходимые и аналитические, загружается скрипт Яндекс.Метрики. Баннер закрывается.
• Настроить - открывает модальное окно для детального выбора категорий cookie.

14.4. В модальном окне настроек отображаются следующие категории:

• Обязательные cookie - всегда включены, отключить нельзя.
• Аналитические cookie - по умолчанию выключены. Для включения требуется согласие.

14.5. В нижней части модального окна размещены кнопки:

• Отклонить все - оставляет включенными только обязательные cookie; аналитические отключаются.

Сохранить выбор - сохраняет выбранные Пользователем категории.

• Принять все - включает все категории cookie.

14.6. До нажатия любой из указанных кнопок необязательные, аналитические, cookie не устанавливаются и не обрабатываются. Работа Сайта продолжается с использованием только строго необходимых файлов cookie.

14.7. Пользователь вправе в любой момент изменить или отозвать свое согласие через ссылку "Настройка cookie" в подвале, футере, Сайта, которая повторно открывает модальное окно настроек.

14.8. Отключение или удаление файлов cookie через настройки браузера не считается надлежащим способом отзыва согласия у Оператора и может привести к некорректной работе Сайта.

14.9. Состав данных, фиксируемых в cookie: идентификаторы сессии, устройства, IP-адрес, тип браузера и ОС, геолокационные данные, страна, город, данные о поведении на Сайте, клики, время просмотра, информация об ошибках, при наличии.

14.10. Срок хранения файлов cookie зависит от их типа и не превышает времени, необходимого для достижения целей обработки.

14.11. По истечении указанных сроков cookie автоматически удаляются браузером или сервисами-провайдерами.

14.12. Данные, уже собранные сервисом Яндекс.Метрика до момента отзыва согласия, продолжают обрабатываться ООО «Яндекс» как самостоятельным оператором в течение установленного срока (до 26 месяцев с момента сбора), после чего автоматически обезличиваются или удаляются. Оператор не хранит сырые логи Яндекс.Метрики. В случае получения от сервиса отчетов, содержащих обезличенные данные, такие отчеты хранятся не более 6 месяцев и уничтожаются.

15. Уведомление Роскомнадзора

15.1. Оператором до начала обработки ПДн направлено в Роскомнадзор уведомление о намерении осуществлять обработку ПДн в порядке, установленном ст. 22 ФЗ-152.

15.2. При изменении сведений, содержащихся в уведомлении, Оператор направляет соответствующее уведомление об изменении в течение срока, установленного законодательством.

16. Ответственность сторон

16.1. Оператор несет ответственность за нарушение требований законодательства РФ в области ПДн в соответствии с действующим законодательством, ст. 13.11 КоАП РФ, ст. 24 ФЗ-152.

16.2. Оператор не несет ответственность за утрату или разглашение конфиденциальной информации, если она:

• стала публичным достоянием до ее утраты или разглашения;
• была получена от третьей стороны до момента ее получения Оператором;
• была разглашена с согласия Субъекта.

16.3. Оператор также не несет ответственности за ПДн, добровольно раскрытые Пользователем третьим лицам, и за содержание текстов сообщений, если Пользователь сам включил в них дополнительные данные. Оператор не несет ответственности за обработку ПДн сервисами Яндекс.Метрика и Яндекс SmartCaptcha, выступающими самостоятельными операторами ПДн в части данных, которые они собирают самостоятельно.

17. Заключительные положения

17.1. Субъект может получить любые разъяснения по вопросам обработки его ПДн, обратившись по электронному адресу Оператора.

17.2. Настоящая Политика является общедоступным документом. Актуальная редакция размещена на Сайте по адресу https://otmetkapro.ru/docs/policy

17.3. Оператор вправе вносить изменения в Политику в одностороннем порядке. Новая редакция вступает в силу с момента ее опубликования на Сайте, если иной срок не указан в самом документе. Пользователям рекомендуется самостоятельно отслеживать изменения.

17.4. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.

17.5. Настоящая Политика вступает в силу с момента ее опубликования на Сайте и распространяется на все отношения в области обработки ПДн, возникшие после ее опубликования.

18. Реквизиты Оператора

Индивидуальный предприниматель МУСАТОВ РУСЛАН ВАЛЕРЬЕВИЧ

ОГРНИП: 325253600103554

ИНН: 250362704439

Электронная почта для запросов субъектов ПДн:

ПРИЛОЖЕНИЕ № 1

Перечень целей, сроков, способов обработки ПДн, категорий субъектов и обрабатываемых ПДн