Положение об обработке и хранении персональных данных

1. Общие положения

1.1. Настоящее Положение является внутренним документом индивидуального предпринимателя Ракитиной Анны Эдуардовны, ОГРНИП 321344300021118, ИНН 340378585857 (далее — Оператор), и определяет порядок обработки, хранения, защиты, блокирования, удаления и уничтожения персональных данных.

1.2. Положение разработано в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Постановлением Правительства Российской Федерации от 01.11.2012 № 1119, Приказом Роскомнадзора от 28.10.2022 № 179, иными нормативными правовыми актами Российской Федерации и Политикой в отношении обработки персональных данных и конфиденциальности сайта «Арлилия».

1.3. Цель Положения — обеспечить законность обработки, конфиденциальность, сохранность и безопасность персональных данных, а также исполнение прав субъектов персональных данных.

1.4. Оператор осуществляет смешанную обработку персональных данных: с использованием средств автоматизации и без использования таких средств.

2. Принципы и цели обработки

2.1. Оператор обрабатывает персональные данные на законной и справедливой основе, только для конкретных, заранее определенных и законных целей и в объеме, необходимом для их достижения.

2.2. Не допускаются обработка данных, несовместимая с целью их сбора, и избыточность данных. Оператор принимает меры по уточнению неполных, неточных и неактуальных данных.

2.3. Целями обработки являются: рассмотрение заявок и обращений; подготовка, заключение, исполнение, изменение и прекращение гражданско-правовых договоров; консультационно-информационное сопровождение; взаимодействие с привлеченными специалистами; расчеты, бухгалтерский и налоговый учет; продвижение услуг при наличии согласия; публикация материалов при наличии отдельного согласия на распространение; обеспечение функционирования и безопасности сайта.

2.4. Оператор не принимает решения, порождающие юридические последствия для субъекта или иным образом затрагивающие его права, исключительно на основании автоматизированной обработки.

3. Субъекты, данные и правовые основания

3.1. Оператор обрабатывает данные клиентов, несовершеннолетних клиентов, законных представителей, доверенных лиц, посетителей сайта, лиц, направивших обращения, контрагентов — физических лиц, самозанятых специалистов и представителей контрагентов.

3.2. Обрабатываемые данные могут включать: ФИО, дату и место рождения, контактные данные, адреса, реквизиты удостоверяющих документов, сведения свидетельства о рождении, платежные реквизиты, сведения о квалификации контрагентов, фото-, аудио- и видеоматериалы, данные анкет, переписки и иные данные, предоставленные субъектом для заключения или исполнения договора.

3.3. Правовыми основаниями обработки являются согласие субъекта, заключение и исполнение гражданско-правового договора, выполнение обязанностей, установленных законодательством Российской Федерации, и иные основания, предусмотренные законодательством.

3.4. Сведения о состоянии здоровья относятся к специальной категории персональных данных. Такие данные обрабатываются только при наличии отдельного явно выраженного согласия субъекта или его законного представителя и лишь в необходимом объеме. Оператор не использует фото-, аудио- и видеоматериалы для биометрической идентификации.

4. Получение, доступ и передача данных

4.1. Данные получаются непосредственно от субъекта, его законного представителя, через сайт, по телефону, электронной почте, в мессенджерах, при личном обращении, а также из документов и материалов, предоставленных для заключения или исполнения договора.

4.2. Отдельно оформляются согласие на обработку специальных категорий данных, согласие на рекламные коммуникации и согласие на обработку персональных данных, разрешенных для распространения.

4.3. Доступ к данным имеет Оператор. Доступ привлеченным лицам предоставляется только при необходимости для исполнения договора или технической поддержки, в минимально необходимом объеме и при соблюдении конфиденциальности.

4.4. Данные могут предоставляться привлеченным специалистам, самозанятым, бухгалтеру, хостинг-провайдеру и поставщикам облачной инфраструктуры при наличии законного основания, договора или поручения на обработку.

4.5. Оператор не осуществляет трансграничную передачу персональных данных. Базы с персональными данными граждан Российской Федерации размещаются на территории Российской Федерации.

5. Хранение и безопасность

5.1. Бумажные договоры, анкеты, согласия и иные документы хранятся в закрываемом месте с ограниченным доступом по адресу Оператора.

5.2. Электронные данные хранятся на рабочем устройстве Оператора и в используемой российской инфраструктуре. Для размещения сайта используется инфраструктура ООО «Бегет»; резервное копирование электронных данных осуществляется с использованием Yandex Cloud. Для взаимодействия с субъектами используется адрес электронной почты admin@arlilia.ru

5.3. На сайте не используются CRM-системы, коллтрекинг, Яндекс Метрика, Вебвизор, онлайн-чаты, рекламные пиксели и иные аналогичные сервисы, предназначенные для сбора, систематизации или анализа персональных данных посетителей сайта.

5.4. Оператор применяет ограничение доступа, парольную защиту, индивидуальные учетные записи, автоматическую блокировку рабочего устройства, Microsoft Windows 11 Pro, Microsoft Defender Antivirus, Microsoft Defender Firewall, встроенные средства идентификации, аутентификации и разграничения прав доступа, резервное копирование и HTTPS/TLS для сайта.

5.5. Запрещается хранить данные в общедоступных папках, на незащищенных устройствах третьих лиц и передавать их через незащищенные каналы без необходимости.

6. Сроки хранения

6.1. Данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен законом, договором или не требуется для защиты прав Оператора.

7. Блокирование, удаление и уничтожение

7.1. Оператор блокирует данные при выявлении неточности, неправомерной обработки либо по требованию субъекта, уполномоченного органа или суда — на период проверки, если иное не установлено законодательством.

7.2. Обработка прекращается при достижении цели, утрате необходимости в ее достижении, истечении срока хранения, отзыве согласия при отсутствии иных оснований, выявлении неправомерной обработки, прекращении деятельности Оператора, исполнении судебного акта или требования уполномоченного органа.

7.3. Бумажные носители уничтожаются шредированием, измельчением либо передачей организации, оказывающей услуги уничтожения документов, способом, исключающим восстановление содержания данных.

7.4. Электронные данные уничтожаются путем удаления файлов и записей из рабочих папок, почтовых ящиков, облачных хранилищ и иных применимых систем с принятием мер, исключающих их дальнейшее использование и восстановление. Данные удаляются из резервных копий в пределах установленного цикла их обновления, если немедленное удаление технически невозможно.

7.5. Факт уничтожения персональных данных подтверждается актом об уничтожении персональных данных. Отдельный журнал уничтожения персональных данных Оператор не ведет, если иное не будет предусмотрено внутренним решением Оператора.

7.6. При уничтожении данных, обрабатываемых с использованием средств автоматизации, Оператор формирует акт об уничтожении персональных данных и выгрузку из журнала регистрации событий информационной системы персональных данных в случаях и в объеме, предусмотренных Приказом Роскомнадзора от 28.10.2022 № 179. При уничтожении данных без использования средств автоматизации оформляется акт об уничтожении персональных данных.

7.7. Акты об уничтожении и выгрузки из журналов регистрации событий, если они формируются, хранятся три года с даты уничтожения.

8. Контроль и заключительные положения

8.1. Оператор осуществляет внутренний контроль соблюдения настоящего Положения, Политики, сроков хранения, прав доступа и мер защиты данных.

8.2. При выявлении инцидента Оператор принимает меры по прекращению неправомерной обработки, устранению последствий, защите прав субъектов и взаимодействию с уполномоченным органом в случаях и сроки, предусмотренные законодательством.

8.3. Настоящее Положение вступает в силу с даты утверждения и действует до отмены или утверждения новой редакции.