Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и определяет политику ИП Погодин Сергей Николаевич (далее — Оператор) в отношении обработки персональных данных и сведения о реализуемых требованиях к защите персональных данных.

1.2. Политика распространяется на все персональные данные, которые Оператор получает и обрабатывает в связи с работой сервиса, размещённого на сайте https://catering.draftmedia.ru (далее — Сервис), с использованием средств автоматизации и без использования таких средств.

1.3. Термины «персональные данные», «обработка персональных данных», «оператор», «распространение», «предоставление», «блокирование», «уничтожение», «информационная система персональных данных» используются в значениях, установленных статьёй 3 Закона.

1.4. Политика является общедоступным документом. Действующая редакция размещена по адресу https://catering.draftmedia.ru/legal/policy и доступна неограниченному кругу лиц без регистрации.

2. Оператор и ответственное лицо

Лицо, ответственное за организацию обработки персональных данных (статья 22.1 Закона): Погодин Сергей Николаевич, адрес электронной почты: hi@catering.draftmedia.ru.

3. Принципы и правовые основания обработки

3.1. Оператор обрабатывает персональные данные на основе принципов, установленных статьёй 5 Закона: законность и справедливость; ограничение обработки достижением конкретных, заранее определённых и законных целей; недопустимость объединения баз данных, обработка которых осуществляется в несовместимых между собой целях; соответствие содержания и объёма обрабатываемых данных заявленным целям; точность и достаточность данных; хранение в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки.

3.2. Правовые основания обработки:

• Конституция Российской Федерации, Гражданский кодекс Российской Федерации, Закон;
• договор (публичная оферта), стороной которого является субъект персональных данных, — пункт 5 части 1 статьи 6 Закона (регистрация, предоставление доступа к Сервису, расчёты по тарифному плану, направление сервисных сообщений);
• согласие субъекта персональных данных — пункт 1 части 1 статьи 6 и статья 9 Закона (в объёме и целях, указанных в соответствующем согласии);
• исполнение возложенных на Оператора законодательством обязанностей — пункт 2 части 1 статьи 6 Закона (бухгалтерский и налоговый учёт, хранение подтверждения согласий);
• осуществление законных интересов Оператора при условии ненарушения прав и свобод субъекта — пункт 7 части 1 статьи 6 Закона (обеспечение безопасности Сервиса, ведение журналов доступа, предотвращение мошенничества).

3.3. Обработка персональных данных, для которой основанием является согласие, прекращается при отзыве такого согласия в порядке, установленном соответствующим документом согласия.

4. Категории субъектов и перечень обрабатываемых персональных данных

4.1. Категории субъектов: зарегистрированные пользователи Сервиса; лица, обратившиеся к Оператору через формы обратной связи или по электронной почте; посетители сайта https://catering.draftmedia.ru; представители контрагентов Оператора.

4.2. Перечень обрабатываемых персональных данных зарегистрированных пользователей: адрес электронной почты; хеш пароля (открытый пароль не хранится); признак подтверждения адреса электронной почты; наименование организации (рабочего пространства) и роль пользователя в нём; реквизиты организации, указанные пользователем; тарифный план, статус и период подписки, счётчики использования Сервиса; даты создания и изменения учётной записи; IP-адрес и данные браузера (User-Agent) при регистрации, входе и предоставлении согласия; содержание созданных пользователем материалов (блюда, мероприятия, заметки); содержание обращений в службу поддержки.

4.3. Перечень персональных данных посетителей сайта: сведения, автоматически передаваемые браузером (IP-адрес, User-Agent, дата и время обращения, адрес запрошенной страницы, адрес страницы-источника), и идентификаторы, содержащиеся в файлах cookie, — в объёме и порядке, описанных в Уведомлении об использовании файлов cookie (https://catering.draftmedia.ru/legal/cookies).

4.4. Оператор не обрабатывает специальные категории персональных данных (статья 10 Закона), биометрические персональные данные (статья 11 Закона) и персональные данные несовершеннолетних. Сервис не предназначен для лиц младше 18 лет.

4.5. Оператор не осуществляет обработку персональных данных, разрешённых субъектом для распространения (статья 10.1 Закона), и не публикует персональные данные пользователей.

5. Цели обработки

Регистрация и ведение учётной записи и рабочего пространства; идентификация и аутентификация; восстановление доступа; предоставление функциональности Сервиса и хранение созданных пользователем материалов; учёт использования Сервиса и расчёты по тарифному плану; направление сервисных сообщений; рассмотрение обращений; обеспечение информационной безопасности Сервиса; направление рекламных и информационных сообщений (только при наличии отдельного согласия); анализ использования сайта в статистических целях (в порядке, описанном в Уведомлении об использовании файлов cookie); исполнение требований законодательства Российской Федерации.

6. Порядок и условия обработки

6.1. Обработка осуществляется с использованием средств автоматизации и без использования таких средств (смешанная обработка) и включает: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение персональных данных.

6.2. Сбор персональных данных, в том числе посредством сети «Интернет», осуществляется с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона). Оборудование Сервиса размещено в дата-центре ООО «ТАЙМВЭБ.КЛАУД» на территории Российской Федерации.

6.3. Трансграничная передача персональных данных (статья 12 Закона) Оператором не осуществляется. Оператор не передаёт персональные данные на территорию иностранных государств и не использует для их обработки сервисы, расположенные за пределами Российской Федерации.

6.4. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки персональных данных (статья 16 Закона).

6.5. Сроки обработки и хранения:

• данные учётной записи — в течение срока действия договора и одного года после удаления учётной записи, если иной срок не установлен законом;
• пользовательские материалы — до их удаления пользователем либо до удаления учётной записи;
• записи о предоставленных согласиях — в течение трёх лет после отзыва согласия либо прекращения обработки (для подтверждения выполнения части 3 статьи 9 Закона);
• расчётные документы — в сроки, установленные законодательством о бухгалтерском учёте и налогами;
• журналы доступа и события безопасности — не более 12 месяцев.

6.6. По достижении целей обработки, в случае отзыва согласия либо выявления неправомерной обработки Оператор прекращает обработку и уничтожает персональные данные в сроки, установленные статьёй 21 Закона (в том числе в срок, не превышающий 30 дней). Подтверждение уничтожения оформляется в порядке, установленном Приказом Роскомнадзора от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

7. Передача персональных данных третьим лицам

7.1. Оператор вправе поручить обработку персональных данных другому лицу на основании заключаемого с ним договора (поручения) в соответствии с частью 3 статьи 6 Закона. Такое лицо обязано соблюдать принципы и правила обработки, установленные Законом, соблюдать конфиденциальность и обеспечивать безопасность персональных данных. Ответственность перед субъектом за действия такого лица несёт Оператор.

7.2. Лица, осуществляющие обработку по поручению Оператора:

7.3. Оператор предоставляет персональные данные государственным органам по мотивированному запросу в случаях и объёме, предусмотренных законодательством Российской Федерации.

7.4. Оператор не продаёт персональные данные и не передаёт их третьим лицам в рекламных целях.

8. Права субъекта персональных данных и порядок их реализации

8.1. Субъект имеет право на получение сведений, предусмотренных частью 7 статьи 14 Закона: подтверждение факта обработки; правовые основания и цели обработки; применяемые способы обработки; наименование и место нахождения Оператора; обрабатываемые персональные данные и источник их получения; сроки обработки и хранения; порядок осуществления прав; сведения об осуществлённой или предполагаемой трансграничной передаче; наименование лица, осуществляющего обработку по поручению Оператора.

8.2. Субъект вправе требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, отозвать согласие, а также обжаловать действия Оператора в Роскомнадзор или в судебном порядке (статьи 14, 17, 21 Закона).

8.3. Запрос направляется на адрес hi@catering.draftmedia.ru либо по адресу 115419, г. Москва, ул. Стасовой, д. 14, корп. 3, кв. 42 и должен содержать сведения, позволяющие идентифицировать субъекта (в объёме, предусмотренном частью 3 статьи 14 Закона; для пользователей Сервиса — адрес электронной почты учётной записи, с которого направлен запрос), сведения, подтверждающие участие субъекта в отношениях с Оператором, и подпись субъекта или его представителя.

8.4. Оператор рассматривает запрос и предоставляет ответ в течение десяти рабочих дней со дня его получения; срок может быть продлён не более чем на пять рабочих дней с уведомлением субъекта о причинах продления (части 1 и 2 статьи 20 Закона).

8.5. В случае выявления неправомерной обработки Оператор прекращает неправомерную обработку в срок, не превышающий трёх рабочих дней с даты выявления (часть 3 статьи 21 Закона).

8.6. При отзыве согласия обработка прекращается, а персональные данные уничтожаются в срок, не превышающий 30 дней с даты поступления отзыва, если сохранение персональных данных более не требуется для целей обработки (часть 5 статьи 21 Закона).

9. Сведения о реализуемых требованиях к защите персональных данных

Настоящий раздел публикуется во исполнение части 2 статьи 18.1 Закона.

9.1. Оператор принимает необходимые правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона и Постановлением Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».

9.2. Правовые и организационные меры:

• назначено лицо, ответственное за организацию обработки персональных данных;
• утверждены настоящая Политика и локальные акты по вопросам обработки персональных данных;
• осуществляется внутренний контроль соответствия обработки Закону и принятым локальным актам;
• проведена оценка вреда, который может быть причинён субъектам персональных данных, в соответствии с Приказом Роскомнадзора от 27.10.2022 № 178;
• определены угрозы безопасности персональных данных при их обработке в информационной системе и требуемый уровень защищённости;
• работники, непосредственно осуществляющие обработку, ознакомлены с законодательством Российской Федерации о персональных данных и локальными актами Оператора;
• доступ к персональным данным предоставляется по принципу минимально необходимых прав, ведётся учёт лиц, допущенных к обработке;
• с лицами, осуществляющими обработку по поручению Оператора, заключены договоры, предусматривающие обязанность соблюдения конфиденциальности и безопасности.

9.3. Технические меры:

• размещение баз данных на территории Российской Федерации;
• передача данных между браузером пользователя и Сервисом по протоколу HTTPS (TLS);
• хранение паролей исключительно в виде необратимых криптографических хешей;
• разграничение доступа и аутентификация пользователей информационной системы, изоляция данных разных организаций (рабочих пространств) друг от друга;
• регистрация событий безопасности и действий с персональными данными в журналах;
• резервное копирование и контроль целостности; средства защиты от несанкционированного доступа и вредоносного программного обеспечения;
• контроль за размещением оборудования и физической защитой помещений дата-центра, обеспечиваемый ООО «ТАЙМВЭБ.КЛАУД».

9.4. При выявлении инцидента, повлёкшего неправомерную передачу (предоставление, распространение, доступ) персональных данных, Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления и направляет результаты внутреннего расследования в течение 72 часов (часть 3.1 статьи 21 Закона).

10. Файлы cookie и статистика посещаемости

Порядок использования файлов cookie и сервисов веб-аналитики, состав собираемых данных и способы отказа описаны в Уведомлении об использовании файлов cookie , размещённом по адресу https://catering.draftmedia.ru/legal/cookies, которое является неотъемлемой частью настоящей Политики.

11. Изменение Политики

11.1. Оператор вправе вносить изменения в Политику. Действующая редакция с указанием номера и даты утверждения размещается по адресу https://catering.draftmedia.ru/legal/policy.

11.2. Изменения вступают в силу с момента размещения новой редакции, если иное не указано в самой редакции. Предыдущие редакции сохраняются Оператором и предоставляются по запросу.

11.3. Вопросы, не урегулированные Политикой, разрешаются в соответствии с законодательством Российской Федерации.