Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет цели, правовые основания, порядок и условия обработки персональных данных, категории обрабатываемых данных и субъектов, права субъектов персональных данных, а также меры по обеспечению безопасности персональных данных при использовании информационной системы ЛИВЕКС, доступной по адресу https://lyvex.space (далее — Система, Сайт).

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных), Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации» и иными нормативными правовыми актами Российской Федерации в области персональных данных.

1.3. Политика применяется ко всем персональным данным, которые Оператор получает от пользователей Сайта и иных субъектов в связи с работой Системы, независимо от того, обрабатываются они с использованием средств автоматизации или без них.

1.4. Политика является общедоступным документом и размещена в свободном доступе по адресу https://lyvex.space/privacy. Оператор вправе вносить в Политику изменения; новая редакция вступает в силу с момента её опубликования на Сайте, если иное не предусмотрено новой редакцией.

1.5. Порядок использования файлов cookie регулируется Политикой файлов cookie, конфиденциальность сведений, доступных в личном кабинете, — Соглашением о неразглашении. Указанные документы являются неотъемлемой частью Политики.

2. Основные понятия

В Политике используются понятия в значении, установленном статьёй 3 Закона о персональных данных:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав данных и действия с ними;
• обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники;
• предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц;
• блокирование — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения данных);
• уничтожение — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе и (или) уничтожаются материальные носители;
• обезличивание — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту;
• информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств;
• трансграничная передача — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу;
• пользователь — физическое лицо, использующее Сайт, в том числе зарегистрированное в Системе и имеющее личный кабинет;
• личный кабинет — защищённый раздел Сайта, доступ к которому предоставляется пользователю после авторизации.

3. Сведения об операторе

3.1. Оператором персональных данных, обрабатываемых в Системе, является:

3.2. Оператор назначает лицо, ответственное за организацию обработки персональных данных (статья 22.1 Закона о персональных данных). Обращения к ответственному лицу направляются по реквизитам, указанным в пункте 3.1.

4. Принципы обработки

Обработка персональных данных осуществляется на основе принципов, установленных статьёй 5 Закона о персональных данных:

• законность и справедливость обработки;
• ограничение обработки достижением конкретных, заранее определённых и законных целей; недопустимость обработки, несовместимой с целями сбора;
• недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях;
• обработка только тех персональных данных, которые отвечают целям обработки; соответствие содержания и объёма данных заявленным целям, недопустимость избыточности;
• обеспечение точности, достаточности и актуальности персональных данных по отношению к целям обработки;
• хранение в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором;
• уничтожение либо обезличивание персональных данных по достижении целей обработки или в случае утраты необходимости в их достижении.

5. Цели обработки, категории данных и субъектов

5.1. Оператор обрабатывает персональные данные в следующих целях и в следующем объёме:

5.2. Оператор не обрабатывает специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни) и биометрические персональные данные. Изображение профиля не используется для установления личности.

5.3. Оператор не принимает на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы (статья 16 Закона о персональных данных).

5.4. Оператор не осуществляет обработку персональных данных в целях продвижения товаров, работ, услуг на рынке путём прямых контактов с субъектом без его предварительного согласия (статья 15 Закона о персональных данных) и не распространяет персональные данные неограниченному кругу лиц.

5.5. Сайт не предназначен для лиц, не достигших 18 лет. Оператор не собирает намеренно персональные данные таких лиц.

6. Правовые основания обработки

6.1. Правовыми основаниями обработки персональных данных являются:

• согласие субъекта персональных данных на обработку его персональных данных (Согласие на обработку персональных данных), оформленное отдельно от иных документов в соответствии со статьёй 9 Закона о персональных данных;
• Правила сайта и пользовательское соглашение, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона о персональных данных);
• необходимость осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6);
• необходимость исполнения обязанностей, возложенных на Оператора законодательством Российской Федерации (п. 2 ч. 1 ст. 6);
• Федеральный закон № 152-ФЗ «О персональных данных», Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Гражданский кодекс Российской Федерации.

6.2. В случае отзыва субъектом согласия Оператор вправе продолжить обработку персональных данных без согласия при наличии оснований, указанных в пунктах 2–11 части 1 статьи 6 Закона о персональных данных.

7. Порядок и условия обработки

7.1. Обработка персональных данных осуществляется с использованием средств автоматизации (смешанная обработка с преобладанием автоматизированной). Персональные данные получаются непосредственно от субъекта при заполнении форм на Сайте, а также формируются автоматически при использовании Сайта (технические данные).

7.2. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

7.3. Для ведения единой учётной записи Система взаимодействует со связанной информационной системой по адресу aventro.ru по защищённым каналам с криптографической подписью запросов. Доступ к данным при таком взаимодействии ограничен целями, указанными в разделе 5.

7.4. Персональные данные хранятся у хостинг-провайдера — [наименование и адрес хостинг-провайдера (центр обработки данных в РФ)] — на основании договора, обязывающего соблюдать конфиденциальность и обеспечивать безопасность персональных данных (часть 3 статьи 6 Закона о персональных данных). Хостинг-провайдер не вправе использовать персональные данные в собственных целях.

7.5. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом (статья 7 Закона о персональных данных).

8. Локализация персональных данных

8.1. В соответствии с частью 5 статьи 18 Закона о персональных данных при сборе персональных данных, в том числе посредством сети «Интернет», Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации.

8.2. Серверы, на которых размещены базы данных Системы и связанной информационной системы, находятся на территории Российской Федерации.

9. Передача третьим лицам и трансграничная передача

9.1. Оператор не продаёт персональные данные и не передаёт их третьим лицам, за исключением:

• лиц, которым поручена обработка персональных данных по договору с Оператором (в том числе хостинг-провайдер), — в объёме, необходимом для исполнения поручения;
• участников дела — в объёме сведений, необходимом для информирования о деле, в котором они участвуют;
• органов государственной власти и иных уполномоченных органов — исключительно по основаниям и в порядке, которые установлены законодательством Российской Федерации;
• иных случаев, когда передача предусмотрена федеральным законом или осуществляется с согласия субъекта.

9.2. Трансграничная передача персональных данных Оператором не осуществляется. Если такая передача потребуется, Оператор до её начала уведомит уполномоченный орган по защите прав субъектов персональных данных в порядке статьи 12 Закона о персональных данных и обеспечит соблюдение установленных им требований.

9.3. Сайт не использует сторонние счётчики посещаемости, рекламные системы, внешние шрифты и скрипты сторонних сервисов: политика безопасности содержимого (CSP) Сайта разрешает загрузку ресурсов только с собственного домена.

10. Сроки обработки и хранения, уничтожение

10.1. Персональные данные обрабатываются до достижения целей обработки, если иной срок не установлен федеральным законом или договором, в частности:

• данные учётной записи и личного кабинета — в течение срока действия учётной записи и 3 (трёх) лет после её удаления для защиты прав и законных интересов Оператора и субъекта (с учётом общего срока исковой давности, статья 196 ГК РФ);
• данные заявки на регистрацию, не завершённой подтверждением эл. почты или отклонённой, — не более 6 (шести) месяцев;
• журналы безопасности и технические данные — не более 1 (одного) года;
• записи о принятии правовых документов и данных согласиях — в течение срока действия учётной записи и 3 (трёх) лет после прекращения обработки;
• сведения, срок хранения которых установлен законодательством, — в течение такого срока.

10.2. По достижении целей обработки, при утрате необходимости в их достижении, при отзыве согласия (если иные основания обработки отсутствуют), а также при выявлении неправомерной обработки, которую невозможно устранить, Оператор прекращает обработку и уничтожает персональные данные в сроки, установленные статьёй 21 Закона о персональных данных (как правило — не позднее 30 дней, при неправомерной обработке — не позднее 10 рабочих дней с момента выявления).

10.3. Уничтожение подтверждается в порядке, установленном уполномоченным органом по защите прав субъектов персональных данных. Резервные копии уничтожаются по мере их планового обновления.

11. Права субъекта персональных данных

11.1. Субъект персональных данных вправе (статьи 14–17 Закона о персональных данных):

• получить сведения, касающиеся обработки его персональных данных: подтверждение факта обработки, правовые основания и цели, применяемые способы, наименование и место нахождения Оператора, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, сведения о лицах, осуществляющих обработку по поручению Оператора, иные сведения, предусмотренные законом;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных;
• требовать прекращения обработки персональных данных;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке.

11.2. Запрос субъекта должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (например, логин или адрес эл. почты учётной записи), подпись субъекта или его представителя (часть 3 статьи 14 Закона о персональных данных). Запрос может быть направлен в форме электронного документа, подписанного электронной подписью, либо из личного кабинета (раздел «Запросы»).

11.3. Оператор предоставляет сведения или мотивированный отказ в течение 10 (десяти) рабочих дней с момента получения запроса. Срок может быть продлён не более чем на 5 (пять) рабочих дней с направлением субъекту мотивированного уведомления о причинах продления (статья 20 Закона о персональных данных).

11.4. Уточнить свои данные пользователь может в личном кабинете: адрес эл. почты и пароль — в разделе «Безопасность», иные данные — запросом администратору в разделе «Запросы».

12. Обязанности оператора

Оператор обязан:

• предоставлять субъекту по его запросу информацию об обработке его персональных данных либо мотивированный отказ;
• разъяснять субъекту юридические последствия отказа предоставить персональные данные, если их предоставление обязательно;
• принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий;
• опубликовать настоящую Политику и обеспечить к ней неограниченный доступ (часть 2 статьи 18.1 Закона о персональных данных);
• уведомлять уполномоченный орган о намерении осуществлять обработку персональных данных и об изменении сведений, содержащихся в уведомлении (статья 22 Закона о персональных данных);
• уведомлять уполномоченный орган о компьютерных инцидентах, повлёкших неправомерную передачу персональных данных, в порядке раздела 14 Политики;
• отвечать на запросы уполномоченного органа в течение 10 рабочих дней (с возможностью продления на 5 рабочих дней).

13. Меры по обеспечению безопасности

13.1. Оператор принимает меры, необходимые и достаточные для выполнения обязанностей, предусмотренных Законом о персональных данных (статьи 18.1 и 19), в том числе:

• назначение лица, ответственного за организацию обработки персональных данных; издание локальных актов по вопросам обработки и защиты персональных данных;
• определение угроз безопасности персональных данных при их обработке в информационной системе и уровня защищённости; применение организационных и технических мер, необходимых для обеспечения установленного уровня защищённости;
• шифрование передаваемых данных (протокол HTTPS с принудительным использованием — HSTS), криптографическая подпись межсистемных запросов;
• хранение паролей исключительно в виде стойкого криптографического хэша; подтверждение входа одноразовым кодом; ограничение времени бездействия сеанса;
• разграничение прав доступа: сотрудники получают доступ только к данным, необходимым для выполнения их функций; все действия фиксируются в журналах;
• защита от подбора паролей, автоматизированных запросов и межсайтовых атак (ограничение частоты запросов, временная блокировка, токены CSRF, проверка источника запроса, политика безопасности содержимого CSP, запрет встраивания страниц во фреймы);
• хранение загруженных файлов и служебных данных вне публично доступного каталога; резервное копирование и возможность восстановления данных;
• контроль за принимаемыми мерами и уровнем защищённости, внутренний контроль соответствия обработки требованиям законодательства;
• ознакомление лиц, осуществляющих обработку, с требованиями законодательства и локальными актами Оператора.

13.2. Пользователь самостоятельно обеспечивает конфиденциальность своего пароля, доступа к адресу эл. почты и устройству, с которого осуществляется вход.

14. Реагирование на инциденты

14.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор в соответствии с частью 3.1 статьи 21 Закона о персональных данных уведомляет уполномоченный орган по защите прав субъектов персональных данных:

• в течение 24 (двадцати четырёх) часов — о произошедшем инциденте, предполагаемых причинах, повлёкших нарушение прав субъектов, и предполагаемом вреде, о принятых мерах по устранению последствий, а также сведения о лице, уполномоченном Оператором на взаимодействие по вопросам инцидента;
• в течение 72 (семидесяти двух) часов — о результатах внутреннего расследования выявленного инцидента, а также сведения о лицах, действия которых стали причиной инцидента (при наличии).

14.2. Оператор принимает меры по устранению последствий инцидента, информирует затронутых пользователей в личном кабинете и (или) по эл. почте, если это необходимо для защиты их прав, и взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак в случаях, предусмотренных законодательством.

15. Файлы cookie

Сайт использует только файлы cookie, необходимые для его работы: идентификатор сеанса и сведения о выборе пользователя в отношении cookie. Перечень файлов, сроки хранения и способы управления приведены в Политике файлов cookie.

16. Обращения и контакты

16.1. Обращения и запросы по вопросам обработки персональных данных направляются Оператору:

• по эл. почте: info@aventro.ru;
• почтой по адресу: [почтовый адрес для обращений];
• из личного кабинета — раздел «Запросы» (для зарегистрированных пользователей).

16.2. Уполномоченный орган по защите прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), официальный сайт: rkn.gov.ru. Субъект вправе обратиться в Роскомнадзор или его территориальный орган, если считает, что Оператор осуществляет обработку его персональных данных с нарушением требований закона.

17. Заключительные положения

17.1. Политика подлежит пересмотру при изменении законодательства Российской Федерации в области персональных данных, а также при изменении целей, состава или способов обработки персональных данных.

17.2. Контроль исполнения требований Политики осуществляется лицом, ответственным за организацию обработки персональных данных.

17.3. Лица, виновные в нарушении норм, регулирующих обработку и защиту персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации.

17.4. Иные права и обязанности Оператора и пользователей определяются Правилами сайта и законодательством Российской Федерации.