Политика обработки персональных данных

1. Основные термины и определения

Следующие термины при упоминании их в тексте Политики с заглавной буквы используются в значениях, присвоенных им в настоящем разделе.

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Близкие родственники – родственники по прямой восходящей и нисходящей линии (родители и дети, дедушки, бабушки и внуки), полнородные и неполнородные (имеющие общих отца или мать) братья и сестры.

Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Законодательство о персональных данных (Законодательство о ПД) – Федеральный закон от 27.07.2006 г. № 152-ФЗ «О персональных данных», а также иные федеральные законы и подзаконные акты РФ, определяющие основания, особенности обработки и обеспечения безопасности персональных данных.

Индивидуальный клиент – физическое лицо (включая индивидуального предпринимателя), которое заключило или может заключить с Оператором договор, и персональные данные которого переданы Оператору.

Информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Использование Сайта – любые действия Субъекта ПД по получению доступа к Сайту или отдельным его частям, функциям, интерфейсам как с помощью аутентификационных данных (логина и пароля), так и без них; воспроизведение, распространение, доведение до всеобщего сведения, сообщение по кабелю и в эфир, импорт, прокат, публичное исполнение, перевод и другая переработка материалов, информации (в полном объеме или частично), размещенных на Сайте; любые другие способы использования, независимо от того, совершаются ли соответствующие действия в целях извлечения прибыли или без такой цели.

Клиент – Корпоративный клиент или Индивидуальный клиент.

Конфиденциальность персональных данных – защищенность персональных данных от раскрытия третьим лицам и/или распространения без Согласия Субъекта персональных данных или наличия иного законного основания.

Корпоративный клиент – юридическое лицо, индивидуальный предприниматель, а также физическое лицо, занимающееся в установленном законодательством РФ порядке частной предпринимательской практикой, которое заключило или может заключить с Оператором договор.

Куки (куки-файлы, cookies) – небольшие файлы, которые Сайт при просмотре Пользователем веб-страницы автоматически загружает на устройство Пользователя и наполняет данными. Подразделяются на необходимые (технические и функциональные – позволяют Сайту «запоминать» указанные Пользователем настройки светлого/темного оформления, языка и иные его указания, отличать живых пользователей от ботов, распознавать DDoS-атаки и т.д.), статистические (фиксируют факты взаимодействия Пользователя с различными элементами Сайта) и маркетинговые (фиксируют такие факты взаимодействия Пользователя с различными элементами Сайта, по которым можно делать предположения об интересах и предпочтениях Пользователя).

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному Субъекту ПД.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Обработчик – лицо, которое на основании договора с Оператором осуществляет обработку персональных данных по поручению Оператора, действуя от имени и (или) в интересах последнего при обработке персональных данных.

Оператор персональных данных (Оператор) – ООО "100+", ИНН: 9724194220; ОГРН: 1247700432847.

Партнер Оператора (Партнер) – юридическое лицо или физическое лицо, ведущее предпринимательскую деятельность (ИП или самозанятый), с которым Оператор состоит в гражданско-правовых договорных отношениях, независимо от способа их оформления (письменно или устно).

Персональные данные (далее - ПД) – любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (Субъекту персональных данных).

Политика – настоящий документ, Политика обработки персональных данных. Пользователь – лицо, имеющее доступ и использующее Сайт или отдельные Сервисы.

Представитель Клиента – физическое лицо, действующее от имени Клиента на основании доверенности или ином законном основании, и/или указанное в карточке с образцами подписей Клиента, и/или входящее в органы управления Корпоративного Клиента, и/или являющееся владельцем / учредителем / акционером / участником Корпоративного клиента.

Работник Оператора – физическое лицо, заключившее с Оператором трудовой договор или гражданско-правовой договор о найме труда (выполнении работ / оказании услуг).

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Сайт Оператора (Сайт) – сайт https://100plus.world/ , а также иные существующие на данный момент сайты, зарегистрированные на имя Оператора, условия использования которых ссылаются на Политику, а также любое развитие их и/или добавление новых, в том числе их поддомены, условия использования которых ссылаются на Политику.

Сервисы – программы, службы, продукты, функции, интерфейсы, веб-формы, доступные на Сайте и/или реализованные в иных программных продуктах, используемых Оператором (мобильных приложениях, социальных сетях и т.д.).

Субъект персональных данных (Субъект ПД, Субъект) – физическое лицо, которое прямо или косвенно определено с помощью персональных данных, в отношении которого осуществляется обработка персональных данных. В рамках Политики к Субъектам ПД относятся физические лица, действующие от собственного имени, а также физические лица-представители юридических или иных физических лиц, уполномоченные действовать от имени таких лиц на основании устава, доверенности, трудового договора, гражданско-правового договора или по другим основаниям. В том числе к уполномоченным представителям относятся лица, осуществившие доступ к учетным записям на Сайте с использованием логина и пароля, присвоенного соответствующему юридическому лицу в рамках заключенного им с Оператором договора.

Трансграничная передача персональных данных – передача ПД на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и/или в результате которых уничтожаются материальные носители ПД.

Услуга – любая деятельность Оператора в пользу Клиента, осуществляемая на основании гражданско-правового договора с Клиентом, независимо от формы (устная, письменная) и способа заключения (подписанием, обменом документами, конклюдентными действиями и т.д.) такого договора.

Иные понятия, упоминаемые в тексте Политики и не определенные в нем, используются в значениях, указанных для них в законодательстве РФ, а при отсутствии определений в законодательстве РФ – в значениях, вытекающих из толковых словарей и иных общепризнанных источников.

2. Общие положения

2.1. Настоящий документ определяет политику Оператора в отношении обработки персональных данных.

2.2. Политика разработана в целях реализации требований Законодательства о персональных данных и распространяется на все действия и операции, совершаемые Оператором с персональными данными Субъектов персональных данных, в том числе, но не ограничиваясь: персональными данными, полученными от посетителей и пользователей Сайта Оператора; персональными данными Клиентов, полученными Оператором в рамках его деятельности, а также персональными данными иных лиц, указанных в Политике.

2.3. Политика устанавливает цели обработки персональных данных, классификацию персональных данных и Субъектов персональных данных, основания, сроки, порядок и условия обработки персональных данных, меры по обеспечению их безопасности.

2.4. Положения Политики являются основой для организации работы по обработке персональных данных Оператором, в том числе, для разработки внутренних нормативных документов, регламентирующих процесс обработки персональных данных Оператором и обязательны для исполнения всеми Работниками Оператора.

2.5. Оператор осуществляет обработку персональных данных как с использованием средств автоматизации, так и без использования таковых. Обработка персональных данных не может осуществляться Оператором или его работниками в целях причинения имущественного и морального вреда Субъектам персональных данных, затруднения реализации их прав и свобод. Обработка персональных данных должна осуществляться до достижения законных, конкретных и заранее определенных целей, и должна проводиться в отношении тех персональных данных и только в том объеме, которые отвечают целям обработки.

2.6. Оператор получает персональные данные, непосредственно предоставленные Пользователем на Сайте. Передача персональных данных Пользователем Оператору через веб-формы сбора данных (регистрации, заявки, обратной связи, подписки и т.д.) означает согласие Пользователя на передачу его персональных данных Оператору.

2.7. Оператор не проверяет достоверность полученных персональных данных. Оператор рассматривает законно полученные сведения об определенном или определимом физическом лице в качестве точных и достоверных персональных данных, принадлежащих указанному в них Субъекту.

2.8. Субъект ПД подтверждает, что все указанные им данные принадлежат лично ему и что в случае указания в предоставляемых Пользователем сведениях об иных лицах, он передает персональные данные с согласия этих лиц в соответствии с требованиями Законодательства о персональных данных.

2.9. спользование Сайта означает безусловное согласие Пользователя с Политикой.

2.10. Оператор использует технологию «cookies». При посещении Сайта, Оператор посредством cookies определяет какие страницы Пользователь посетил, какими функциями Сайта воспользовался, что было загружено, имя домена интернет-провайдера Пользователя, страну и выбранные переходы с одной страницы на другую, а также адреса сторонних веб-сайтов, с которых совершен переход на Сайт и иную подобную информацию.

2.11. Сайт Оператора может содержать гиперссылки на другие веб-сайты, предоставленные третьими лицами. Оператор не контролирует сторонние веб-сайты или информацию, размещенную на веб-сайтах третьих лиц. Оператор не несет ответственности за защиту и конфиденциальность любой информации, предоставленной Субъектом персональных данных на веб-сайтах третьих лиц, после того как он покинул Сайт Оператора.

2.12. Оператор ведет свою деятельность на всей территории РФ преимущественно через использование сети Интернет.

2.13. Сервер, на котором размещаются персональные данные Пользователей, расположен в дата центре ООО «ЯНДЕКС.ОБЛАКО» (ИНН: 7704458262, ОГРН: 1187746678580) на территории Российской Федерации. Оператор также может использовать иные сервера для хранения персональных данных, расположенные на территории РФ.

2.14. В случае возникновения вопросов относительно Политики, Пользователь может связаться с Оператором, направив письмо по каналам связи, указанным в качестве контактных на Сайте.

3. Правовые основания, цели и сроки обработки, категории обрабатываемых ПД, категории Субъектов ПД

3.1. Цели сбора и обработки, категории Субъектов ПД и состав обрабатываемых персональных данных детализированы в приложении к Политике (Приложение 1 «Цели обработки, категории Субъектов и состав обрабатываемых персональных данных»).

3.2. Правовые основания и сроки обработки персональных данных детализированы в приложении к Политике (Приложение 2 «Правовые основания и сроки обработки персональных данных»).

3.3. Для оказания Оператором некоторых Услуг может потребоваться получение персональных данных специальной категории - данных о состоянии здоровья Субъекта ПД. Оператор принимает такие данные только при наличии соответствующего согласия Субъекта ПД, выраженного в письменной форме – в качестве отдельного документа или в составе договора на оказание соответствующих Услуг. Такие персональные данные не хранятся в Информационных системах персональных данных Оператора.

3.4. Оператор не обрабатывает персональные данные, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни и иные персональные данные специальных категорий.

3.5. В целях самопрезентации, создания и укрепления деловой репутации Оператор может публиковать на Сайте фото- и видеоизображения своих Партнеров и представителей с их согласия или по их инициативе. Указанные изображения не хранятся в Информационной системе персональных данных Оператора, Оператор не использует их для установления личности Субъекта персональных данных, в связи с чем такие изображения не относятся к биометрическим персональным данным.

3.6. Оператор не осуществляет обработку биометрических персональных данных.

4. Порядок и условия обработки персональных данных

4.1. Обработка ПД непосредственно Оператором

4.1.1. К обработке персональных данных допускаются только такие Работники Оператора, в должностные обязанности которых входит обработка персональных данных.

4.1.2. В указанных в Политике целях Оператор вправе совершать любые действия (операции) или совокупность действий (операций), предусмотренные п. 3 ч. 1 ст. 3 Федерального закона от 27.07.2006 N 152-ФЗ "О персональных данных", включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, обезличивание, блокирование, удаление, уничтожение, передачу (распространение, предоставление, доступ) персональных данных третьим лицам с соблюдением мер, обеспечивающих защиту персональных данных от несанкционированного доступа, в объеме, необходимом для достижения целей имеющегося основания обработки ПД.

4.1.3. Оператор осуществляет обработку персональных данных с использованием средств автоматизации и без их использования, выполняя требования к автоматизированной и неавтоматизированной обработке персональных данных, предусмотренные Законодательством о персональных данных.

4.1.4. Оператор не принимает решений, порождающих юридические последствия в отношении Субъекта или иным образом затрагивающих права и законные интересы Субъектов, на основании исключительно автоматизированной обработки персональных данных. Данные, имеющие юридические последствия или затрагивающие права и законные интересы Субъекта персональных данных, подлежат перед их использованием проверке со стороны уполномоченных работников Оператора.

4.1.5. Персональные данные на бумажных носителях хранятся Оператором в течение сроков хранения документов, для которых эти сроки предусмотрены законодательством об архивном деле в РФ (Федеральный закон от 22.10.2004 N 125-ФЗ "Об архивном деле в Российской Федерации", Перечень типовых управленческих архивных документов, образующихся в процессе деятельности государственных органов, органов местного самоуправления и организаций, с указанием сроков их хранения (утв. Приказом Росархива от 20.12.2019 N 236)).

4.1.6. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.

4.1.7. Оператор прекращает обработку персональных данных в следующих случаях:

• достигнута цель их обработки;

• истек установленный срок обработки;

• истек срок действия или отозвано согласие Субъекта персональных данных на обработку указанных данных, когда, согласно Законодательству о персональных данных, обработка этих данных допускается только с согласия;

• выявлен факт неправомерной обработки.

4.1.8. При достижении целей обработки персональных данных, а также в случае отзыва Субъектом персональных данных согласия на их обработку Оператор прекращает обработку этих данных, если:

• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект персональных данных;

• Оператор не вправе осуществлять обработку без согласия Субъекта персональных данных на основаниях, предусмотренных Законодательством о персональных данных.

4.2. Поручение на обработку персональных данных.

4.2.1. Оператор вправе по договору поручать обработку персональных данных Субъекта ПД третьему лицу – Обработчику – с целью делегировать ему часть своих функций.

4.2.2. Оператор привлекает Обработчика, когда не обладает необходимым уровнем знаний, или ресурсов для достижения соответствующего результата, или когда привлечение Обработчика позволяет оптимизировать трудозатраты или повысить качество деятельности.

4.2.3. В качестве Обработчиков могут выступать хостинг-провайдеры, операторы сотовой связи, организаторы сервисов мгновенного обмена сообщениями, нанятые по гражданско-правовым договорам юристы, бухгалтеры, а также поставщики иных услуг, необходимых Оператору для нормального функционирования и взаимодействия с Клиентом.

4.2.4. Обработчик действует от имени и/или в интересах Оператора. Оператор несет ответственность перед Субъектом ПД за действия или бездействие Обработчика. Обработчик несет ответственность перед Оператором.

4.2.5. Обработчик не обязан получать согласие Субъекта ПД на обработку его персональных данных. Если для обработки персональных данных по поручению Оператора Законодательство о ПД требует получения согласия Субъекта ПД, то такое согласие получает непосредственно Оператор.

4.2.6. Оператор обязуется включать в договоры с Обработчиками условия о конфиденциальности получаемых ими персональных данных, а также о запрете их обработки способами и/или в целях, не соответствующих содержанию договора на обработку.

4.3. Передача персональных данных.

4.3.1. Передача персональных данных, в отличие от поручения на их обработку, предполагает, что получателем таких данных выступает отдельный самостоятельный оператор. Такой получатель обрабатывает полученные персональные данные от своего имени, в собственном интересе, в собственных целях и по собственным правовым основаниям.

4.3.2. При наличии соответствующих правовых оснований, Оператор вправе осуществлять передачу персональных данных третьим лицам без поручения таким лицам обработки персональных данных. В частности, к таким лицам относятся банки, осуществляющие расчеты с Клиентами Оператора, перевозчики и экспедиторы, осуществляющие доставку документов или заказов, государственные органы, запрашивающие персональные данные в пределах своей компетенции, и т.д.

4.3.3. Оператор вправе для оказания Клиенту Услуг привлекать третьих лиц, если это не противоречит условиям договора между Оператором и Клиентом. В целях оказания Услуг Клиенту Оператор вправе передавать таким третьим лицам персональные данные, полученные от Клиента.

4.3.4. Если Клиент предоставляет Оператору персональные данные с целью получения Услуги, которую оказывает партнер Оператора, Оператор вправе передать такие данные партнеру с целью реализации законного интереса Клиента в получении такой Услуги.

4.3.5. Оператор может передавать данные, собранные из статистических и маркетинговых куки файлов, третьим лицам (например, компаниям, оказывающим услуги информационной безопасности, аналитическим, рекламным компаниям) для обеспечения доступности и стабильной работы Сайта, его оптимизации, улучшения пользовательского опыта, повышения качества Услуг Оператора, персонализации направляемой / демонстрируемой Пользователю рекламы, оценки эффективности такой рекламы. Пользователь вправе в любой момент ограничить и отключить такую передачу через настройки своего веб-браузера.

4.3.6. В случае уступки в пользу третьего лица требований Оператора к Субъекту, а также в случае полной или частичной замены Оператора на третье лицо в качестве стороны в договоре с Субъектом (или договоре, в котором Субъект является представителем стороны), такому третьему лицу могут быть переданы персональные данные Субъекта. К такому третьему лицу также переходят все обязательства по соблюдению условий Политики применительно к полученным им персональным данным.

4.3.7. В случае передачи Оператором исключительных прав на Сайт приобретателю могут быть переданы персональные данные пользователей Сайта. К приобретателю также переходят все обязательства по соблюдению условий Политики применительно к полученным им персональным данным.

4.3.8. При нарушении или угрозе нарушения Субъектом ПД договора с Оператором персональные данные Субъекта могут быть переданы третьим лицам в целях обеспечения правовой защиты Оператора.

4.3.9. Оператор не осуществляет Трансграничную передачу персональных данных.

5. Права Субъектов персональных данных

5.1. Субъект персональных данных, принимая решение о предоставлении своих персональных данных, действует свободно, своей волей и в своем интересе, безусловно выражая свое согласие.

5.2. Согласие на обработку персональных данных может быть дано лично Субъектом персональных данных или его представителем как в письменной форме, так и путем внесения персональных данных в поля веб-формы Сайта.

5.3. Согласие на обработку персональных данных, полученное путем присоединения к Согласию об обработке персональных данных, размещенному на Сайте, признается исполненным в простой письменной форме.

5.4. Субъект персональных данных вправе согласиться на получение рекламно-информационных сообщений, касающихся продукции и Услуг Оператора, по каналам связи, предоставленным Субъектом ПД: электронной почте, учетной записи Telegram, через звонки и/или смс по сотовой сети и/или через учетные записи систем мгновенного обмена сообщениями (Telegram, WhatsApp, Viber, SnapChat и т.д.), привязанных к предоставленному Субъектом ПД номеру телефона, по иным каналам, предоставленным Субъектом ПД.

5.5. Субъект персональных данных имеет право на получение у Оператора информации, касающейся обработки его персональных данных, если такое право не ограничено в соответствии с законодательством РФ.

5.6. Субъект персональных данных вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать иные предусмотренные законом меры по защите своих прав и законных интересов.

5.7. Для получения указанной информации Субъект персональных данных может оправить письменный запрос по каналам связи, указанным в качестве контактных на Сайте.

5.8. Запрос Субъекта относительно его персональных данных должен содержать следующие элементы:

• ФИО Субъекта персональных данных;

• номер основного документа, удостоверяющего личность Субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе или иные данные, позволяющие однозначно идентифицировать Субъекта персональных данных;

• сведения, подтверждающие участие Субъекта персональных данных в отношениях с Оператором, ЛИБО сведения, иным способом подтверждающие факт обработки персональных данных Оператором;

• подпись Субъекта персональных данных или его представителя.

6. Обеспечение безопасности персональных данных

6.1. Оператор принимает необходимые и достаточные организационные и технические меры для защиты персональных данных от неправомерного/случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ней третьих лиц, включающие в себя: издание локальных актов по вопросам обработки и обеспечения безопасности персональных данных, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений; использование средств защиты информации, прошедших процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации; обнаружение фактов несанкционированного доступа; восстановление персональных данных; установление правил доступа к персональным данным; проведение внутреннего контроля и оценки эффективности применяемых мер.

6.2. Для предотвращения несанкционированного доступа к персональным данным Оператор реализует следующие требования к защите персональных данных:

• назначение лица, ответственного за организацию обработки персональных данных;

• включение обязанностей по обеспечению конфиденциальности и безопасности персональных данных, а также мер ответственности, в должностные инструкции и договоры Работников с Оператором;

• ознакомление Работников Оператора, осуществляющих обработку персональных данных, с положениями Законодательства о персональных данных, и их соответствующее обучение.

• предоставление доступа к персональным данным только тем сотрудникам Оператора, которым он необходим для выполнения должностных обязанностей;

• использование кодов, паролей, иных ключей и средств разграничения доступа;

• применение организационных и технических мер по обеспечению безопасности персональных данных при их обработке в Информационных системах персональных данных, необходимых для выполнения требований к защите ПД, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

• применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации; использование антивирусных средств и средств восстановления системы защиты; применение средств межсетевого экранирования, обнаружения вторжений, анализа защищенности;

• оценка рисков и вреда, который Оператор может причинить, в случае нарушения Законодательства о персональных данных;

• разработка моделей угроз;

• определение угроз безопасности персональных данных при их обработке в Информационных системах персональных данных;

• оценка эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных; обнаружение фактов несанкционированного доступа к персональным данным и принятие мер;

• установление правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

• контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных; учет машинных носителей персональных данных;

• проведение мониторинга действий с персональными данными в Информационной системе персональных данных, проведение разбирательств по фактам нарушения требований безопасности персональных данных;

• иные требования Законодательства о персональных данных.