Политика ООО «Кристалл-Электроцентр» по обработке и защите персональных данных
Общество с ограниченной ответственностью «Кристалл-Электроцентр»
Юридический адрес: 610035 г. Киров, ул. Щорса, дом 68г, кабинет 9
ИНН 4347036610, КПП 434501001, ОГРН 1034316503770
1. Общие положения
1.1. Настоящая Политика разработана с учетом требований Конституции Российской Федерации, Трудового кодекса Российской Федерации, Федерального закона "Об информации, информационных технологиях и о защите информации" Федерального закона от 27.07.2006 г. N 152-ФЗ "О персональных данных и иных нормативных правовых актов Российской Федерации, устанавливающих принципы и правила обработки персональных данных и определяет основные меры, реализуемые ООО «Кристалл-Электроцентр» (далее – Организация, Оператор) для обеспечения защиты персональных данных.
1.2. ООО «Кристалл-Электроцентр», являясь Оператором, осуществляющим обработку персональных данных, обеспечивает защиту прав и свобод субъектов при обработке их персональных данных и принимает меры для обеспечения выполнения обязанностей, предусмотренных Федеральным законом "О персональных данных" и принятыми в соответствии с ними нормативными правовыми актами.
1.3. Настоящая Политика устанавливает цель, порядок и условия обработки персональных данных; категории субъектов, персональные данные которых обрабатываются, категории (перечни) обрабатываемых персональных данных, способы, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований.
1.4. Настоящий документ является общедоступным и подлежит размещению на официальном сайте ООО «Кристалл-Электроцентр».
1.5. Политика действует бессрочно до замены ее новой версией.
2. Основные понятия
2.1. Основные понятия, используемые в настоящей Политике:
- персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);
- оператор – юридическое лицо - ООО «Кристалл-Электроцентр», самостоятельно или совместно с другими лицами осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции) совершаемые с персональными данными;
- информационная система - совокупность содержащейся в базах данных информации и обеспечивающих ее обработку информационных технологий и технических средств;
- обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;
- автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники;
- блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных);
- уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных;
- обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных;
- конфиденциальность персональных данных - обязательное для соблюдения оператором требование не раскрывать третьим лицам и не допускать распространения персональных данных без согласия субъектов персональных данных или наличия иного законного основания;
- защита персональных данных - деятельность оператора, направленная на предотвращение утечки защищаемых персональных данных, несанкционированных и непреднамеренных воздействий на защищаемые персональные данные;
- веб-сайт – совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, обеспечивающих их доступность в сети интернет.
3. Категории субъектов персональных данных
К субъектам, персональные данные которых обрабатываются Оператором относятся:
- клиенты и контрагенты, являющиеся физическими лицами, представители и работники клиентов и контрагентов, являющихся юридическими лицами (далее – Клиенты);
- работники ООО «Кристалл-Электроцентр» (в том числе бывшие), их родственники, кандидаты на вакантные должности,
4. Цели обработки персональных данных
4.1. Обработка персональных данных Клиентов осуществляется в целях:
- осуществление клиентской поддержки, осуществление обратной связи с клиентами, участие субъекта персональных данных в проводимой Оператором программе лояльности;
- подготовки, заключения, исполнения и прекращения любых договоров.
- предоставление доступа к сервисам, информации и/или материалам, содержащимся на веб-сайте uhta.kristall43.ru;
- предоставления дополнительных программ поощрения клиентов;
- коммуникации с участниками программы лояльности посредством телефонных звонков СМС рассылки, Push-уведомления, или e-mail.
- Сбор и анализ статистических данных о посещаемости сайта с помощью сервисов Яндекс.Метрика
4.2. Обработка персональных данных работников ООО «Кристалл-Электроцентр» осуществляется в целях, предусмотренных действующей редакцией Положения об обработке и защите персональных данных работников.
5. Состав персональных данных
5.1. К персональным данным Клиентов относятся:
· фамилия, имя, отчество;
· число, месяц, год рождения;
· контактный телефон;
· адрес электронной почты (по желанию клиента).
· Запросы Клиента, как посетителя сайта;
· IP адрес;
· файлы cookies;
· идентификатор пользователя, присваиваемый сайтом;
· посещенные страницы;
· количество посещений страниц;
· информация о перемещении по страницам сайта (в т.ч. запись движения мыши, нажатий на ссылки и элементы сайта);
· длительность пользовательской сессии;
· точки входа (сторонние сайты, с которых пользователь по ссылке переходит на сайт);
· точки выхода (ссылки на сайте, по которым пользователь переходит на сторонние сайты);
· страна пользователя;
· регион пользователя;
· часовой пояс, установленный на устройстве пользователя;
· провайдер пользователя;
· браузер пользователя;
· цифровой отпечаток браузера (canvas fingerprint);
· доступные шрифты браузера;
· установленные плагины браузера;
· параметры WebGL браузера;
· тип доступных медиа-устройств в браузере;
· наличие ActiveX;
· перечень поддерживаемых языков на устройстве пользователя;
· архитектура процессора устройства пользователя;
· ОС пользователя;
· параметры экрана (разрешение, глубина цветности, параметры размещения страницы на экране);
· информация об использовании средств автоматизации при доступе на сайт;
· дата и время посещения сайта;
· источник перехода (UTM метка);
· значение UTM меток от source до content;
· уникальный идентификатор, присваиваемый интернет-сторонним сервисом, обеспечивающим обработку статистических данных.
5.2. Персональные данные работников, обрабатываемые Оператором, определяются на основании действующей редакцией Положения об обработке и защите персональных данных работников.
6. Порядок и условия обработки персональных данных
6.1. Обработка персональных данных осуществляется с соблюдением принципов и условий, предусмотренных законодательством в области персональных данных и учитывает необходимость обеспечения защиты прав и свобод субъектов персональных данных, в том числе защиты права на неприкосновенность частной жизни, личную и семейную тайны.
Оператор обрабатывает следующие персональные данные Клиентов:
В целях подготовки, заключении, исполнении и прекращении договоров с клиентами и контрагентами: фамилия, имя, отчество, число, месяц, год рождения, контактный телефон, адрес электронной почты.
В целях предоставления дополнительных программ поощрения клиентов: фамилия, имя, отчество, число, месяц, год рождения, контактный телефон, адрес электронной почты.
В целях осуществления клиентской поддержки, обратной связи с пользователями, участие субъекта персональных данных в программах лояльности Оператора: фамилия, имя, отчество, число, месяц, год рождения, контактный телефон, адрес электронной почты.
В целях предоставления доступа к сервисам, информации и материалам, размещенным на сайте uhta.kristall43.ru: контактный телефон, адрес электронной почты.
В целях реализация дополнительных программ поощрения клиентов (акции, бонусы, скидки): фамилия, имя, отчество, число, месяц, год рождения, контактный телефон, адрес электронной почты.
В целях: Информирование клиентов через телефонные звонки, SMS-рассылки и электронную почту: контактный телефон, адрес электронной почты.
В целях: Проведения маркетинговых исследований, анализа предпочтений пользователей для улучшения качества услуг: контактный телефон, адрес электронной почты.
В целях: анализа посещаемости сайта используются технологии Яндекс.Метрики: IP адрес; файлы cookies; идентификатор пользователя, присваиваемый сайтом; посещенные страницы; количество посещений страниц; информация о перемещении по страницам сайта (в т.ч. запись движения мыши, нажатий на ссылки и элементы сайта);
длительность пользовательской сессии; точки входа (сторонние сайты, с которых пользователь по ссылке переходит на сайт); точки выхода (ссылки на сайте, по которым пользователь переходит на сторонние сайты);
страна пользователя; регион пользователя; часовой пояс, установленный на устройстве пользователя; провайдер пользователя; браузер пользователя; цифровой отпечаток браузера (canvas fingerprint); доступные шрифты браузера; установленные плагины браузера; параметры WebGL браузера; тип доступных медиа-устройств в браузере; наличие ActiveX; перечень поддерживаемых языков на устройстве пользователя;
архитектура процессора устройства пользователя; ОС пользователя; параметры экрана (разрешение, глубина цветности, параметры размещения страницы на экране); информация об использовании средств автоматизации при доступе на сайт; дата и время посещения сайта; источник перехода (UTM метка);
значение UTM меток от source до content; уникальный идентификатор, присваиваемый интернет-сторонним сервисом, обеспечивающим обработку статистических данных.
Обработка данных осуществляется в соответствии с Политикой конфиденциальности Яндекса.
В целях оптимизации Оператором своих web-ресурсов, с учетом индивидуальных особенностей Клиента
Запросы Клиента, как посетителя сайта; IP адрес; файлы cookies; идентификатор пользователя, присваиваемый сайтом; посещенные страницы; количество посещений страниц; информация о перемещении по страницам сайта (в т.ч. запись движения мыши, нажатий на ссылки и элементы сайта);
длительность пользовательской сессии; точки входа (сторонние сайты, с которых пользователь по ссылке переходит на сайт); точки выхода (ссылки на сайте, по которым пользователь переходит на сторонние сайты);
страна пользователя; регион пользователя; часовой пояс, установленный на устройстве пользователя; провайдер пользователя; браузер пользователя; цифровой отпечаток браузера (canvas fingerprint); доступные шрифты браузера; установленные плагины браузера; параметры WebGL браузера; тип доступных медиа-устройств в браузере; наличие ActiveX; перечень поддерживаемых языков на устройстве пользователя;
архитектура процессора устройства пользователя; ОС пользователя; параметры экрана (разрешение, глубина цветности, параметры размещения страницы на экране); информация об использовании средств автоматизации при доступе на сайт; дата и время посещения сайта; источник перехода (UTM метка);
значение UTM меток от source до content; уникальный идентификатор, присваиваемый интернет-сторонним сервисом, обеспечивающим обработку статистических данных.
6.2. Обработка персональных данных осуществляется только с согласия субъекта персональных данных на обработку его персональных данных, если иное не предусмотрено законодательством в области персональных данных.
6.3. К обработке персональных данных допускаются только те сотрудники Оператора, в должностные обязанности которых входит обработка персональных данных.
Указанные сотрудники имеют право получать только те персональные данные, которые необходимы им для выполнения своих должностных обязанностей.
6.4. Обработка ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора;
6.5. Обработка персональных данных осуществляется путем сбора, записи, систематизации, накопления, хранения, уточнения (обновления, изменения), извлечения, использования, обезличивания, блокирования, удаления, уничтожения персональных данных, в том числе с помощью средств вычислительной техники.
6.6. Сбор, запись, систематизация, накопление и уточнение (обновление, изменение) персональных данных осуществляются посредством:
- получения информации, содержащей персональные данные, в устной и письменной форме непосредственно от субъектов персональных данных;
- получения оригиналов документов либо их копий;
- внесения сведений в учетные формы на бумажных и электронных носителях;
- создания документов, содержащих персональные данные, на бумажных и электронных носителях;
- внесения персональных данных в информационные системы персональных данных;
- собирание посредством метрических программ.
6.7. Обработка персональных данных включает:
- фиксацию (регистрацию) персональных данных в журналах, книгах, реестрах и других учетных формах;
- внесение персональных данных в информационные системы Оператора, программу лояльности.
- использования иных средств и способов фиксации персональных данных, получаемых в рамках осуществляемой Оператором деятельности.
6.8. Оператор вправе поручить обработку персональных данных другому юридическому лицу или индивидуальному предпринимателю с согласия субъектов персональных данных на основании заключаемого Договора поручения на обработку персональных данных. Юридическое лицо или индивидуальный предприниматель, осуществляющие обработку персональных данных по поручению Оператора, обязаны соблюдать принципы и правила обработки персональных данных, предусмотренные законодательством Российской Федерации в области персональных данных.
Оператор вправе осуществлять обработку моих персональных данных следующими способами: сбор, систематизация, накопление, хранение, обновление, изменение, использование, передача третьим лицам (предоставление, доступ), включая ООО «ЯНДЕКС», ООО «ВК», АО «ПФ «СКБ Контур», ООО «Подарок в Квадрате»
7. Права субъектов персональных данных
7.1. Субъект персональных данных имеет право:
- получать полную информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных законодательства Российской Федерации;
- требовать исправления неверных либо неполных персональных данных, а также данных, обрабатываемых с нарушением требований законодательства Российской Федерации;
- требовать блокирования или уничтожения своих персональных данных в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
- требовать извещения всех лиц, которым ранее были сообщены его неверные или неполные персональные данные, обо всех произведенных в них изменениях;
- отозвать согласие на обработку своих персональных данных;
- обжаловать действия или бездействие оператора при обработке своих персональных данных в соответствии с законодательством Российской Федерации;
- получить информацию о движении бонусов, балансе бонусного счета, о проходящих акциях в розничных магазинах;
- осуществлять иные права, предусмотренные законодательством Российской Федерации.
8. Обязанности оператора
8.1. Оператор при обработке персональных данных обязан:
- принимать необходимые меры для выполнения обязанностей оператора, предусмотренных законодательством Российской Федерации в сфере обработки и защиты персональных данных;
- разъяснять субъекту персональных данных юридические последствия отказа предоставить персональные данные, если это является обязательным в соответствии с законодательством Российской Федерации;
- осуществлять блокирование неправомерно обрабатываемых персональных данных;
- осуществлять прекращение обработки персональных данных в соответствии с законодательством Российской Федерации;
- уведомлять субъекта персональных данных об устранении допущенных нарушений или уничтожения его персональных данных;
- предоставлять по просьбе субъекта персональных данных или его представителя информацию, касающуюся обработки его персональных данных, в порядке, установленном законодательством Российской Федерации и нормативными актами Оператора.
8.2. В целях принятия мер, необходимых для выполнения обязанностей, предусмотренных законодательством Российской Федерации и нормативными актами Оператора, назначается лицо, ответственное за организацию обработки и защиты персональных данных.
8.3. Лицо, ответственное за организацию обработки и защиты персональных данных обязано:
- организовывать принятие правовых, организационных и технических мер для обеспечения защиты персональных данных, от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
- обеспечивать внутренний контроль за соблюдением требований законодательства Российской Федерации и нормативных актов в области персональных данных, в том числе требований к защите персональных данных;
- организовывать прием и обработку обращений и запросов субъектов персональных данных или и представителей, а также осуществлять контроль за приемом и обработкой таких обращений к Оператору.
9. Обеспечение безопасности персональных данных
9.1. Обеспечение безопасности персональных данных при их обработке осуществляется в соответствии с законодательством Российской Федерации и требованиями уполномоченного органа государственной власти по защите прав субъектов персональных данных.
9.2. Оператор предпринимает необходимые организационные и технические меры для защиты персональных данных от случайного или несанкционированного доступа, уничтожения, изменения, блокирования доступа и других несанкционированных действий.
9.3. Меры защиты, реализуемые Оператором при обработке персональных данных, включают:
- принятие локальных нормативных актов и иных документов в области обработки и защиты персональных данных;
- назначение должностных лиц, ответственных за обеспечение безопасности персональных данных;
- организацию обучения и проведение методической работы с работниками, осуществляющими обработку персональных данных;
- создание необходимых условий для работы с материальными носителями и информационными системами, в которых обрабатываются персональные данные;
- организацию учета материальных носителей персональных данных и информационных систем, в которых обрабатываются персональные данные;
- хранение материальных носителей персональных данных с соблюдением условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним;
- обособление персональных данных, обрабатываемых без использования средств автоматизации, от иной информации;
- обеспечение раздельного хранения материальных носителей персональных данных, на которых содержатся персональные данные разных категорий или содержатся персональные данные, обработка которых осуществляется в разных целях;
- установление запрета на передачу персональных данных по открытым каналам связи, вычислительным сетям и сети Интернет без применения установленных мер по обеспечению безопасности персональных данных;
- обеспечение защиты документов, содержащих персональные данные, на бумажных и иных материальных носителях при их передаче третьим лицам;
- осуществление внутреннего контроля за соблюдением законодательства Российской Федерации и нормативных актов при обработке персональных данных;
- установление порядка передачи персональных данных другому юридическому лицу или индивидуальному предпринимателю с согласия субъектов персональных данных на основании заключаемого Договора поручения на обработку персональных данных.
9.4. Работники, которые занимают должности, предусматривающие обработку персональных данных, допускаются к ней после подписания обязательства об их неразглашении.
9.5. Ответы на письменные запросы других организаций и учреждений в пределах их компетенции и предоставленных полномочий даются в письменной форме на бланке Организации и в том объеме, который позволяет не разглашать излишний объем персональных сведений о субъектах персональных данных.
9.6. Передача информации, содержащей сведения о персональных данных, по телефону, факсу, электронной почте без письменного согласия субъекта персональных данных запрещается.
9.7. Документы, содержащие персональные данные, хранятся в запирающихся шкафах, обеспечивающих защиту от несанкционированного доступа.
9.8. Персональные компьютеры, в которых содержатся персональные данные, защищены паролями доступа.
9.9. Все меры конфиденциальности при сборе, обработке и хранении персональных данных распространяются как на бумажные, так и на электронные (автоматизированные) носители информации.
10. Сроки обработки и хранения персональных данных
10.1. Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели их обработки. Исключение - случаи, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого является субъект персональных данных.
10.2. Срок хранения персональных данных, обрабатываемых в информационных системах персональных данных, соответствует сроку хранения персональных данных на бумажных носителях.
10.3 Согласие на обработку его персональных данных действует с момента его предоставления и до достижения целей обработки персональных данных либо до момента отзыва согласия субъектом персональных данных, если иное не предусмотрено законодательством Российской Федерации, но не более 3-х лет.
10.4. Обработка персональных данных прекращается в следующих случаях:
- при выявлении факта неправомерной обработки персональных данных. Срок прекращения обработки - в течение трех рабочих дней с даты выявления такого факта;
- при достижении целей их обработки (за некоторыми исключениями);
- по истечении срока действия или при отзыве субъектом персональных данных согласия на обработку его персональных данных (за некоторыми исключениями), если в соответствии с Законом о персональных данных их обработка допускается только с согласия;
- при обращении субъекта персональных данных к Оператору с требованием о прекращении обработки персональных данных (за исключением случаев, предусмотренных ч. 5.1 ст. 21 Закона о персональных данных). Срок прекращения обработки - не более десяти рабочих дней с даты получения требования (с возможностью продления не более чем на пять рабочих дней, если направлено уведомление о причинах продления).
11. Блокирование и уничтожение персональных данных
11.1. Оператор блокирует персональные данные в порядке и на условиях, предусмотренных законодательством в области персональных данных.
11.2. При достижении целей обработки персональных данных или в случае утраты необходимости в достижении этих целей персональные данные уничтожаются либо обезличиваются. Исключение может предусматривать федеральный закон.
11.3. Незаконно полученные персональные данные или те, которые не являются необходимыми для цели обработки, уничтожаются в течение семи рабочих дней со дня представления субъектом персональных данных (его представителем) подтверждающих сведений.
11.4. Персональные данные, обработка которых прекращена из-за ее неправомерности и правомерность обработки которых невозможно обеспечить, уничтожаются в течение 10 рабочих дней с даты выявления неправомерной обработки.
11.5. Персональные данные уничтожаются в течение 30 дней с даты достижения цели обработки, если иное не предусмотрено договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных, иным соглашением между ним и Оператором либо если Оператор не вправе обрабатывать персональные данные без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
11.6. При достижении максимальных сроков хранения документов, содержащих персональные данные, персональные данные уничтожаются в течение 30 дней.
11.7. Персональные данные уничтожаются (если их сохранение не требуется для целей обработки персональных данных) в течение 30 дней с даты поступления отзыва субъектом персональных данных согласия на их обработку. Иное может предусматривать договор, стороной которого (выгодоприобретателем или поручителем, по которому) является субъект персональных данных, иное соглашение между ним и Оператором. Кроме того, персональные данные уничтожаются в указанный срок, если Оператор не вправе обрабатывать их без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами.
11.8. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора.
11.9. Способы уничтожения персональных данных устанавливаются в локальных нормативных актах Оператора.
12. Ответственность за разглашение информации, связанной с персональными данными
12.1. Лица, виновные в нарушении норм, регулирующих получение, обработку и защиту персональных данных, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с федеральными законами.
