Политика в отношении обработки персональных данных и реализации требований к обеспечению защиты персональных данных ООО «КИП ЛУКИНГ»

ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

В целях настоящей Политики в отношении обработки персональных данных и реализации требований к обеспечению защиты персональных данных Общество с ограниченной ответственностью «КИП ЛУКИНГ» (далее «Политика конфиденциальности»), если иное не вытекает из контекста, используются следующие термины, которым придается следующее значение:

«Персональные данные» – любая информация, относящаяся к прямо или косвенно определённому, или определяемому физическому лицу (субъекту персональных данных).

«Субъект персональных данных» – физическое лицо, которое прямо или косвенно определено, или определяемо с помощью персональных данных.

«Оператор персональных данных» – государственный орган, муниципальный орган, юридическое или физическое лицо, которое самостоятельно или совместно с другими лицами организует и осуществляет обработку персональных данных, а также определяет цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

«Обработка персональных данных» – любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования. Обработка персональных данных включает в себя, в том числе:

• сбор;

• запись;

• систематизацию;

• накопление;

• хранение;

• уточнение (обновление, изменение);

• извлечение;

• использование;

• передачу (распространение, предоставление, доступ);

• обезличивание;

• блокирование;

• удаление;

• уничтожение.

«Автоматизированная обработка персональных данных» – обработка персональных данных с помощью средств вычислительной техники.

«Распространение персональных данных» – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

«Предоставление персональных данных» – действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

«Блокирование персональных данных» – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

«Уничтожение персональных данных» – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

«Обезличивание персональных данных» – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

«Информационная система персональных данных» – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1. ОБЩИЕ СВЕДЕНИЯ

1.2. Политика конфиденциальности определяет политику Общества с ограниченной ответственностью «Аэстетикс Бьюти Групп» (далее – «Общество») в отношении обработки персональных данных и реализации требований к обеспечению защиты персональных данных.

1.3. Политика конфиденциальности разработана в соответствии действующим законодательством Российской Федерации о персональных данных:

1.3.3. Трудовой кодекс Российской Федерации от 30.12.20021 № 197-ФЗ;

1.3.4. Федеральный закон Российской Федерации от 2707.2006 № 152-ФЗ «О персональных данных» (далее – Федеральный закон «О персональных данных»), устанавливающий основные принципы и условия обработки персональных данных, права, обязанности и ответственность участников, связанных с обработкой персональных данных;

1.3.5. Постановление Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;

1.3.6. Постановление Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

1.4. Действие Политики конфиденциальности распространяется на любое действие (операцию) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Обработка персональных данных осуществляется на основе следующих принципов:

2.1.3. обработка персональных данных осуществляется на законной и справедливой основе;

2.1.4. обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей;

2.1.5. обработка персональных данных, не совместимая с целями сбора персональных данных, не допускается;

2.1.6. не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

2.1.7. содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Обрабатываемые персональные данные не являются избыточными по отношению к заявленным целям обработки;

2.1.8. при обработке персональных данных обеспечивается точность персональных данных и их достаточность, в необходимых случаях и актуальность персональных данных по отношению к заявленным целям их обработки;

2.1.9. хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;

2.1.10. обрабатываемые персональные данные подлежат уничтожению ли обезличиванию по достижению целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Общество осуществляет обработку персональных данных в следующих целях:

3.1.1. выполнение требований законодательства Российской Федерации;

3.1.2. идентификация субъекта персональных данных, зарегистрированного на сайте Общества в информационно-телекоммуникационной сети «Интернет», для заключения, изменения или исполнения договоров;

3.1.3. направление сообщений информационного характера;

3.1.4. предоставление субъекту персональных данных доступа к персонализированным ресурсам сайта Общества в информационно-телекоммуникационной сети «Интернет»;

3.1.5. установление с субъектом персональных данных обратной связи, включая направление уведомлений, запросов, касающихся использования сайта Общества в информационно-телекоммуникационной сети «Интернет», оказания услуг при использовании сайта, обработку запросов и заявок от субъекта персональных данных, направленных с использованием сайта Общества в информационно-телекоммуникационной сети «Интернет»;

3.1.6. определение места нахождения субъекта персональных данных, использующего сайт Общества в информационно-телекоммуникационной сети «Интернет», для обеспечения безопасности, предотвращения мошенничества;

3.1.7. обработка заказов, совершенных на сайте Общества в информационно-телекоммуникационной сети «Интернет», на покупку и доставку товаров, прием денежных средств в качестве оплаты стоимости товаров и доставки;

3.1.8. создание личного кабинета на сайте Общества в информационно-телекоммуникационной сети «Интернет»;

3.1.9. уведомление субъекта персональных данных о новых продуктах, сервисах, услугах;

3.1.10. предоставление субъекту персональных данных эффективной клиентской и технической поддержки при возникновении проблем, связанных с использованием сайта Общества в информационно-телекоммуникационной сети «Интернет»;

3.1.11. проведение статистических и иных исследований, на основе обезличенных данных;

3.1.12. содействие кандидатам в трудоустройстве, получения работниками образования и продвижения по службе, обеспечение личной безопасности работников, контроля количества и качества выполняемой работы и обеспечения сохранности имущества;

3.1.13. подготовка, заключение, исполнение и прекращение трудовых договоров;

3.1.14. ведение кадрового делопроизводства и личных дел работников;

3.1.15. предоставление работникам отпусков и направление их в командировки;

3.1.16. организация и оформление награждений и поощрений работников;

3.1.17. организация постановки на индивидуальный (персонифицированный) учёт работников в системе обязательного пенсионного страхования;

3.1.18. предоставление работникам дополнительных гарантий и компенсаций, в том числе добровольного медицинского страхования;

3.1.19. подготовка, заключение, исполнение и прекращение гражданско-правовых договоров;

3.1.20. обеспечение пропускного режима в помещения Общества.

3.2. Общество может использовать персональные данные, хранящиеся на стороне браузера субъекта персональных данных, для следующих целей:

3.2.1. поддержки функционирования ресурсов, требующих информации, хранящейся на стороне браузера;

3.2.2. показа рекламы для целевой аудитории;

3.2.3. измерения размеров аудитории сайта Общества в информационно-телекоммуникационной сети «Интернет»;

3.2.4. определение статистических информационных предпочтений субъектов персональных данных при доступе к различным сервисам или страницам сайта Общества в информационно-телекоммуникационной сети «Интернет»;

3.2.5. определение в исследовательских целях корреляции статистических данных о посещаемости сайта Общества в информационно-телекоммуникационной сети «Интернет» с социометрическими данными о субъектах персональных данных.

4. ОБЪЁМ И КАТЕГОРИИ ОБРАБАТЫВАЕМЫХ ПЕРСОНАЛЬНЫХ ДАННЫХ, КАТЕГОРИИ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Категории субъектов персональных данных, перечень персональных данных и объём обрабатываемых в Обществе персональных данных приведены в таблице ниже.

5. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. В качестве правового основания обработки персональных данных Общество руководствуется следующими документами:

5.1.1. Гражданским кодексом Российской Федерации от 30.11.1994 № 51-ФЗ; 5.1.2. Налоговым кодексом Российской Федерации от 31.07.1998 № 146-ФЗ;

5.1.3. Трудовым кодексом Российской Федерации от 30.12.20021 № 197-ФЗ; 5.1.4. Федеральным законом от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»; 5.1.5. Федеральным законом от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники при осуществлении наличных денежных расчётов и (или) расчётов с использованием электронных средств платежа»;

5.1.6. Законом от 07.02.1992 № 2300-1 «О защите прав потребителей»;

5.1.7. Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе»;

5.1.8. договорами, заключаемыми между Обществом и его контрагентами; 5.1.9. договорами, заключаемыми между Обществом и субъектом персональных данных;

5.1.10. согласием на обработку персональных данных;

5.1.11. Уставом ООО «КИП ЛУКИНГ».

6. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Общество осуществляет обработку персональных данных как с использованием средств автоматизации, так и без использования таких средств, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, уничтожение, удаление персональных данных.

6.2. Персональные данные обрабатываются на основании согласия субъекта персональных данных на обработку его персональных данных, за исключением случаев, когда в соответствии действующим законодательством Российской Федерации об обработке персональных данных обработка персональных данных может осуществлять без согласия.

6.3. Согласие субъекта персональных данных на обработку его персональных данных может быть дано субъектом персональных данных в любой форме, позволяющей подтвердить факт его получения, за исключением случаев, прямо предусмотренных законодательством Российской Федерации о персональных данных, когда требуется согласие субъекта персональных данных на обработку его персональных данных в письменной форме.

6.4. Общество не осуществляет трансграничной передачи персональных данных.

 6.5. Общество осуществляет взаимодействие с третьими лицами в рамках достижения целей обработки персональных данных.

6.6. В случае поручения обработки персональных данных другому лицу Общество заключает договор (далее – «поручение») с этим лицом и получает согласие субъекта персональных данных на обработку персональных данных третьим лицом по поручению Общества, если иное не предусмотрено федеральным законом. При этом Общество в поручении обязует лицо, осуществляющее обработку персональных данных по поручению Общества, соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом «О персональных данных».

6.7. В случаях, когда Общество поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несёт Общество. Лицо, осуществляющее обработки персональных данных по поручению Общества, несёт ответственность перед Обществом.

6.8. В случаях и порядке, предусмотренных законодательством Российской Федерации, персональные данные субъекта без его согласия могут быть переданы Обществом:

6.8.1. в судебные органы в связи с осуществлением правосудия;

6.8.2. в органы федеральной службы безопасности;

6.8.3. в органы прокуратуры;

6.8.4. в органы полиции; 6.8.5. в иные органы и организации в случаях, установленных нормативными правовыми актами, обязательными для исполнения.

6.9. Общество уведомляет субъекта персональных данных об обработке персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных. Исключение составляют следующие случаи:

6.9.1. субъект персональных данных уведомлен об осуществлении обработки его персональных данных Обществом;

6.9.2. персональные данные получены Обществом на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных;

6.9.3. Общество осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных;

6.9.4. предоставление субъекту персональных данных такого уведомления нарушает права и законные интересы третьих лиц.

6.10. Общество принимает следующие меры, направленные на обеспечение выполнения обязанностей, предусмотренных статьями 18.1 и 19 Федерального закона «О персональных данных»:

6.10.1. назначен ответственный за организацию обработки персональных данных;

6.10.2. назначен ответственный за обеспечение безопасности персональных данных;

6.10.3. утверждены локальные акты, устанавливающие процедуры, направленные на выявление и предотвращение нарушений законодательства Российской Федерации в сфере персональных данных;

6.10.4. применяются предусмотренные соответствующими нормативными правовыми актами правовые, организационные и технические меры по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных Общества;

6.10.5. реализованы меры физической защиты помещений, где размещены технические средства, обрабатывающие персональные данные, и хранятся материальные носители персональных данных, от несанкционированного проникновения;

6.10.6. в целях осуществления внутреннего контроля соответствия обработки персональных данных установленным требования Федерального закона «О персональных данных», и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, настоящей Политике конфиденциальности, локальным актам Общества, организовано проведение периодических проверок условий обработки персональных данных не реже одного раза в три года;

6.10.7. осуществляется ознакомление работников Общества, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных (в том числе с требованиями к защите персональных данных), локальными актами по вопросам обработки персональных данных;

6.10.8. Общество обеспечивает нахождение на территории Российской Федерации баз данных информации, с использованием которых осуществляется сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации;

6.10.9. Общество включено в Реестр операторов персональных данных.

6.11. Условием прекращения обработки персональных данных может является достижение целей обработки персональных данных, истечение срока действия согласия, прекращение деятельности Общества или отзыв согласия субъекта персональных данных на обработку его персональных данных, а также выявление неправомерной обработки персональных данных.

6.12. Сроки хранения носителей персональных данных определяются Обществом в соответствии с требованиями законодательства Российской Федерации, договора с субъектом персональных данных, а при отсутствии таких требований определяются сроком хранения персональных данных, которые на них записаны.

6.13. При обработке персональных данных, осуществляемой без использования средств автоматизации, выполняются требования, установленные Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

7. ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. В соответствии с положениями Федерального закона «О персональных данных» субъект персональных данных имеет право:

7.1.1. получить сведения, касающиеся обработки персональных данных Обществом, а именно:

i. подтверждение факта обработки персональных данных Обществом;

ii. правовые основания и цели обработки персональных данных Общество;

iii. применяемые Обществом способы обработки персональных данных;

iv. наименование и место нахождения Общества, сведения о лицах (за исключением работников Общества), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Обществом или на основании федерального закона;

v. обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок предоставления таких данных не предусмотрен федеральным законом;

vi. сроки обработки персональных данных Обществом, в том числе сроки их хранения;

vii. порядок осуществления субъектом персональных данных прав, предусмотренных Федеральным законом «О персональных данных»;

viii. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению Общества, если обработка поручена или будет поручена такому лицу;

ix. иные сведения, предусмотренные Федеральным законом «О персональных данных» или другими федеральными законами.

7.1.2. потребовать от Общества уточнения его персональных данных, их блокировки или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

7.1.3. отозвать согласие на обработку персональных данных в предусмотренных законом случаях.

7.2. Если субъект персональных данных считает, что Общество осуществляет обработку его персональных данных с нарушением требований Федерального закона «О персональных данных» или иным образом нарушает его права и свободы, субъект персональных данных вправе обжаловать действия или бездействие Общества в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке.

8. ПОРЯДОК ОСУЩЕСТВЛЕНИЯ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

8.1. Субъект персональных данных может реализовать свои права путём направления письменного запроса Обществу по адресу: 111024, РОССИЯ, Г. МОСКВА, ВН.ТЕР.Г. МУНИЦИПАЛЬНЫЙ ОКРУГ ЛЕФОРТОВО, АВИАМОТОРНАЯ УЛ., Д. 50, СТР. 2, ПОМЕЩ./КОМ./ОФИС XIV/30/1.

8.2. В соответствии с частью 3 статьи 14 Федерального закона «О персональных данных» запрос субъекта персональных данных (или его представителя) должен содержать:

8.2.1. номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;

8.2.2. сведения, подтверждающие участие субъекта персональных данных в отношениях с Обществом (номер договора, дата заключения договора, условное словесное обозначение или иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Обществом; 8.2.3. подпись субъекта персональных данных или его представителя.

8.3. Субъект персональных данных имеет право на получение сведений, касающихся обработки его персональных данных Обществом (Приложение 1):

8.3.1. Общество безвозмездно предоставляет запрашиваемые сведения субъекту персональных данных или его представителю в доступной форме в течение тридцати дней с даты получения запроса субъекта персональных данных или его представителя либо даёт в письменной форме мотивированный ответ, содержащий ссылку на положения федерального закона (законов), являющихся основанием для отказа в предоставлении информации;

8.3.2. в случае если необходимые сведения были предоставлены по его запросу, субъект персональных данных вправе обратиться повторно к Обществу или направить ему повторный запрос в целях получения данных сведений не ранее чем через тридцать дней после первоначального Обращения, если более коротки срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

8.4. Субъект персональных данных имеет право на отзыв согласия на обработку персональных данных, если обработка осуществляется на основании согласия (Приложение 2):

8.4.1. в случае отзыва субъектом персональных данных согласия на обработку его персональных данных Общество прекращает их обработку или обеспечивает прекращение такой обработки, и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий тридцати дней с даты поступления отзыва согласия, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Обществом и субъектом персональных данных, либо если Общество не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных федеральными законами Российской Федерации;

8.4.2. в случае невозможности уничтожения персональных данных в течение указанного срока Общество осуществляет блокирование таких персональных данных или обеспечивает их блокирование и уничтожение в срок не более чем шесть месяцев, если иной срок не установлен федеральными законами.

8.5. Субъект персональных данных или его представитель имеет право требовать уточнить/уничтожить его персональные данные, если они являются неполными устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (Приложение 3):

8.5.1. к требованиям должны быть приложены документы, подтверждающие этот факт;

8.5.2. Общество организует проверку по требованию, при необходимости блокируя соответствующую часть обрабатываемых персональных данных на время проведения проверки;

8.5.3. в случае подтверждения факта неточности персональных данных Общество на основании сведений, представленных субъектом персональных данных или его представителем, уточняет персональные данные, либо обеспечивает их уточнение (если обработка персональных данных осуществляется другим лицом, действующим по поручению Общества) в течение семи рабочих дней со дня поступления требования;

8.5.4. в случае выявления неправомерной обработки персональных данных, осуществляемой Обществом или лицом, действующим по поручению, Общество в срок, не превышающий трех рабочих дней с даты поступления требования, прекращает неправомерную обработку персональных данных или обеспечивает прекращение неправомерной обработки персональных данных лицом, действующим по поручению Общества. В случае, если обеспечить правомерность обработки персональных данных невозможно, Общество в срок, не превышающий десяти рабочих дней с даты поступления требования субъекта персональных данных или его представителя, уничтожает такие персональные данные или обеспечивает их уничтожение;

8.5.5. Общество уведомляет субъекта персональных данных или его представителя о результатах проверки и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым персональные данные этого субъекта были переданы, в целях устранения нарушения.

9. ОГРАНИЧЕНИЯ ПРАВ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

9.1. Право субъекта персональных данных на доступ к своим персональным данным ограничивается в случае, если предоставление персональных данных нарушает права и законные интересы других лиц, а также если обработка персональных данных осуществляется в соответствии с законодательством о противодействии легализации (отмыванию) доходов, полученных преступным путём, и финансированию терроризма.

9.2. В случае если сведения, касающиеся обработки персональных данных, а также обрабатываемые персональные данные были предоставлены для ознакомления субъекту персональных данных по его запросу, субъект персональных данных вправе направить повторный запрос в целях получения сведений, касающихся обработки персональных данных, и ознакомления с такими персональными данными не ранее чем через тридцать дней после направления первоначального запроса, если более короткий срок не установлен федеральным законом, принятым в соответствии с ним нормативным правовым актом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

9.3. Субъект персональных данных вправе направить Обществу повторный запрос в целях получения сведений, касающихся обработки персональных данных, а также в целях ознакомления с обрабатываемыми персональными данными до истечения срока, указанного в пункте 9.2 в случае, если такие сведения и (или) обрабатываемые персональные данные не были предоставлены ему для ознакомления в полном объёме по результатам рассмотрения первоначального запроса. Повторный запрос должен содержать обоснование направления повторного запроса.

9.4. Общество вправе отказать субъекту персональных данных в выполнении повторного запроса, не соответствующего условиям, предусмотренным пп. 9.2 и 9.3.