Политика в отношении обработки персональных данных

Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет позицию Оператора (раздел 3) в области обработки и защиты персональных данных, цели, правовые основания, условия и способы обработки, категории субъектов и обрабатываемых данных, сроки обработки и хранения, порядок уничтожения персональных данных, права субъектов персональных данных и меры, принимаемые Оператором для обеспечения безопасности персональных данных.

Политика применяется ко всем персональным данным, которые обрабатывает Оператор, в том числе:

• получаемым через сайт smolin.dev и его поддомены (далее — Сайт), включая форму заявки;
• получаемым при обращении к Оператору по электронной почте и через мессенджеры и социальные сети, ссылки на которые размещены на Сайте;
• получаемым в связи с заключением, исполнением и прекращением договоров с заказчиками.

Политика не применяется:

• к персональным данным, которые Оператор обрабатывает по поручению заказчиков при оказании им услуг разработки и сопровождения — в этих отношениях оператором является заказчик, а порядок обработки определяется договором с ним (раздел 14);
• к сайтам, сервисам и приложениям третьих лиц, в том числе к мессенджерам и социальным сетям, на которые ведут ссылки с Сайта, — их обработка регулируется собственными документами этих лиц;
• к отношениям, перечисленным в ч. 2 ст. 1 Закона о персональных данных.

Правовую основу обработки персональных данных составляют:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Федеральный закон от 27.11.2018 № 422-ФЗ «О проведении эксперимента по установлению специального налогового режима „Налог на профессиональный доход“»;
• Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей»;
• постановление Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• постановление Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
• приказ ФСТЭК России от 18.02.2013 № 21 о составе и содержании мер по обеспечению безопасности персональных данных;
• приказы Роскомнадзора от 27.10.2022 № 178 (об оценке вреда) и от 28.10.2022 № 179 (о подтверждении уничтожения персональных данных);
• договоры, заключаемые Оператором с субъектами персональных данных, и согласия субъектов на обработку их персональных данных.

Политика является общедоступным документом и во исполнение ч. 2 ст. 18.1 Закона о персональных данных опубликована на Сайте по адресу smolin.dev/legal/privacy. Ссылка на Политику размещена на каждой странице Сайта и рядом с формой заявки.

Политика описывает фактически осуществляемую Оператором обработку на дату вступления в силу её текущей редакции. Если способ, цель, состав данных или круг получателей меняются, Политика обновляется до начала соответствующей обработки, а не после неё.

В Политике используются термины в значениях, установленных ст. 3 Закона о персональных данных, в том числе:

Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

Оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных, подлежащих обработке, и действия (операции), совершаемые с ними.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций) с персональными данными, совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Лицо, осуществляющее обработку по поручению Оператора — лицо, которому Оператор с соблюдением ч. 3 ст. 6 Закона о персональных данных поручил обработку персональных данных на основании заключаемого с ним договора.

Пользователь — физическое лицо, посещающее Сайт и (или) использующее его функции, в том числе форму заявки.

Заказчик — физическое лицо, индивидуальный предприниматель или юридическое лицо, заключившее или намеревающееся заключить с Оператором договор на оказание услуг (выполнение работ).

Файлы cookie — небольшие фрагменты данных, которые сайт сохраняет в браузере и которые браузер передаёт сайту при последующих обращениях к нему.

Оператором персональных данных является:

• Смолин Иван Григорьевич — физическое лицо, применяющее специальный налоговый режим «налог на профессиональный доход» (нпд) (не является индивидуальным предпринимателем);
• ИНН: 531004773704;
• место осуществления деятельности: Великий Новгород, Российская Федерация;
• адрес электронной почты для обращений: hello@smolin.dev;
• сайт: smolin.dev.

Иные сведения об Операторе приведены на странице «Сведения об исполнителе».

Оператор является физическим лицом, организует обработку персональных данных и контроль за соблюдением законодательства о персональных данных лично. Работников, состоящих с Оператором в трудовых отношениях, у Оператора нет.

Оператор исполняет обязанность по уведомлению уполномоченного органа по защите прав субъектов персональных данных о намерении осуществлять обработку персональных данных, предусмотренную ст. 22 Закона о персональных данных. Сведения из реестра операторов доступны на портале pd.rkn.gov.ru.

Обработка персональных данных осуществляется Оператором на основе принципов, установленных ст. 5 Закона о персональных данных:

• законности и справедливости обработки;
• ограничения обработки достижением конкретных, заранее определённых и законных целей;
• недопустимости обработки, несовместимой с целями сбора персональных данных;
• недопустимости объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработки только тех персональных данных, которые отвечают целям их обработки;
• соответствия содержания и объёма обрабатываемых персональных данных заявленным целям, недопустимости обработки избыточных данных;
• обеспечения точности, достаточности и актуальности персональных данных по отношению к целям обработки;
• хранения персональных данных в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором;
• уничтожения либо обезличивания персональных данных по достижении целей обработки или в случае утраты необходимости в их достижении.

Оператор не осуществляет:

• обработку специальных категорий персональных данных (сведений о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости) — ст. 10 Закона о персональных данных;
• обработку биометрических персональных данных — ст. 11 Закона о персональных данных;
• принятие на основании исключительно автоматизированной обработки персональных данных решений, порождающих юридические последствия в отношении субъекта или иным образом затрагивающих его права и законные интересы, — ст. 16 Закона о персональных данных;
• распространение персональных данных (раскрытие неопределённому кругу лиц);
• обработку персональных данных в целях продвижения товаров, работ, услуг путём осуществления прямых контактов с потенциальным потребителем (рекламных рассылок, звонков) — ст. 15 Закона о персональных данных.

Если Оператор примет решение начать обработку, указанную в п. 4.2, он сделает это только при наличии правового основания (в частности, отдельного согласия субъекта, когда оно требуется) и после внесения соответствующих изменений в Политику.

Для каждой цели обработки ниже отдельно указаны категории субъектов, перечень обрабатываемых персональных данных, правовое основание, перечень действий, способ обработки, сроки обработки и хранения. Персональные данные, собранные для одной цели, не используются для целей, несовместимых с ней.

Цель 1. Рассмотрение заявки, направленной через форму на Сайте, и связь с Пользователем по этой заявке

1. 5.2.1.

   Содержание цели: получение и рассмотрение заявки на разработку сайта, приложения или бизнес-системы; обсуждение задачи с Пользователем; подготовка и направление предложения; ведение переписки по заявке.

2. 5.2.2.

   Категории субъектов: Пользователи, направившие заявку через форму в разделе «Контакты» Сайта.

3. 5.2.3.

   Перечень персональных данных:

   • имя (в том виде, в каком его указал Пользователь);
   • адрес электронной почты;
   • сведения, которые Пользователь по своему усмотрению указал в необязательном поле «Описание задачи»;
   • адрес страницы Сайта, с которой отправлена заявка;
   • дата и время отправки заявки, версия согласия на обработку персональных данных и идентификатор формы (site_contact_form), фиксируемые как доказательство получения согласия.
4. 5.2.4.

   Правовое основание: согласие субъекта персональных данных (п. 1 ч. 1 ст. 6 Закона о персональных данных), оформленное отдельно от иных документов в соответствии с ч. 1 ст. 9 Закона о персональных данных, — «Согласие на обработку персональных данных». Без согласия форма не отправляется: проверка выполняется на сервере.

5. 5.2.5.

   Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение.

6. 5.2.6.

   Способ обработки: автоматизированная обработка.

7. 5.2.7.

   Срок обработки и хранения: 3 года с момента последнего взаимодействия с Оператором по заявке либо до отзыва согласия — в зависимости от того, что наступит раньше. Если по заявке заключён договор, персональные данные далее обрабатываются в рамках цели 3 (п. 5.4).

Цель 2. Рассмотрение обращений, поступивших по электронной почте и через мессенджеры, и ведение переписки

1. 5.3.1.

   Содержание цели: получение и рассмотрение обращений по вопросам услуг Оператора, направленных на адрес электронной почты Оператора или через мессенджеры и социальные сети, ссылки на которые размещены на Сайте, и ответы на такие обращения.

2. 5.3.2.

   Категории субъектов: лица, самостоятельно обратившиеся к Оператору указанными способами.

3. 5.3.3.

   Перечень персональных данных:

   • имя, фамилия (если указаны);
   • адрес электронной почты, номер телефона — если они сообщены субъектом или отображаются в используемом им сервисе;
   • имя пользователя (никнейм) и идентификатор учётной записи в мессенджере или социальной сети;
   • содержание переписки и направленных субъектом вложений.
4. 5.3.4.

   Правовое основание: обработка необходима для заключения договора по инициативе субъекта персональных данных (п. 5 ч. 1 ст. 6 Закона о персональных данных); в отношении обращений, не связанных с заключением договора, — осуществление прав и законных интересов Оператора, связанных с получением адресованных ему сообщений и ответом на них, при условии, что при этом не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6 Закона о персональных данных).

5. 5.3.5.

   Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление, уничтожение.

6. 5.3.6.

   Способ обработки: автоматизированная обработка.

7. 5.3.7.

   Срок обработки и хранения: 3 года с даты последнего сообщения в переписке, если иной срок не требуется для целей 3 или 5.

Цель 3. Заключение, исполнение и прекращение договоров с Заказчиками

1. 5.4.1.

   Содержание цели: подготовка, заключение, исполнение, изменение и прекращение договоров на оказание услуг (выполнение работ); согласование задания, сдача-приёмка результатов; расчёты по договору, включая формирование и передачу чеков в соответствии с Федеральным законом № 422-ФЗ; исполнение гарантийных обязательств; претензионная работа.

2. 5.4.2.

   Категории субъектов: Заказчики — физические лица и индивидуальные предприниматели; представители и контактные лица Заказчиков — юридических лиц.

3. 5.4.3.

   Перечень персональных данных:

   • фамилия, имя, отчество;
   • контактные данные: адрес электронной почты, номер телефона, учётная запись в мессенджере;
   • для Заказчиков — физических лиц и индивидуальных предпринимателей: сведения, необходимые для заключения и исполнения договора, — адрес для направления корреспонденции, ИНН (если он требуется для оформления расчётов), банковские реквизиты (при возврате денежных средств);
   • для представителей юридических лиц: наименование организации, должность, сведения о полномочиях (реквизиты доверенности или иного документа);
   • сведения о ходе исполнения договора, содержащиеся в переписке и документах по договору.
4. 5.4.4.

   Правовые основания: исполнение договора, стороной которого является субъект персональных данных, а также заключение договора по его инициативе (п. 5 ч. 1 ст. 6 Закона о персональных данных); исполнение обязанностей, возложенных на Оператора законодательством Российской Федерации, в том числе налоговым законодательством (п. 2 ч. 1 ст. 6); в отношении представителей юридических лиц — осуществление прав и законных интересов Оператора и Заказчика, связанных с заключением и исполнением договора (п. 7 ч. 1 ст. 6).

5. 5.4.5.

   Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление) в случаях, указанных в разделе 7, блокирование, удаление, уничтожение.

6. 5.4.6.

   Способ обработки: смешанная обработка (с использованием средств автоматизации и без их использования — в отношении документов на бумажном носителе, если такие документы оформляются).

7. 5.4.7.

   Срок обработки и хранения: в течение срока действия договора и после его прекращения — в течение срока исковой давности (ст. 196 Гражданского кодекса РФ), а документы, необходимые для исчисления и уплаты налога, — в течение срока, установленного налоговым законодательством Российской Федерации.

Цель 4. Обеспечение работоспособности и безопасности Сайта

1. 5.5.1.

   Содержание цели: обеспечение доступности и стабильной работы Сайта, защита от атак, спама и иных злоупотреблений, выявление и расследование инцидентов информационной безопасности.

2. 5.5.2.

   Категории субъектов: посетители Сайта.

3. 5.5.3.

   Перечень данных, которые в автоматическом режиме фиксируются программным обеспечением веб-сервера в технических журналах (логах) в объёме, в котором их фиксирует это программное обеспечение:

   • IP-адрес;
   • дата и время запроса;
   • адрес запрошенной страницы или ресурса, метод и код ответа сервера;
   • адрес страницы, с которой выполнен переход (HTTP Referer);
   • сведения о браузере и операционной системе (User-Agent).
4. 5.5.4.

   Правовое основание: осуществление прав и законных интересов Оператора по обеспечению безопасности и работоспособности Сайта при условии, что при этом не нарушаются права и свободы субъекта (п. 7 ч. 1 ст. 6 Закона о персональных данных), а также исполнение обязанности по обеспечению безопасности информации (ст. 19 Закона о персональных данных).

5. 5.5.5.

   Перечень действий: сбор, запись, хранение, извлечение, использование, удаление, уничтожение. Оператор не использует эти данные для идентификации посетителей, составления их профилей или отслеживания их поведения — за исключением случаев расследования инцидента безопасности.

6. 5.5.6.

   Способ обработки: автоматизированная обработка.

7. 5.5.7.

   Срок хранения: не более 30 дней с момента записи, если соответствующая запись не требуется для расследования инцидента безопасности — в этом случае до завершения расследования.

Цель 5. Рассмотрение запросов субъектов персональных данных и уполномоченных органов

1. 5.6.1.

   Содержание цели: рассмотрение обращений и запросов субъектов персональных данных (их представителей) и уполномоченных органов, подготовка ответов, исполнение требований субъектов, ведение учёта обращений.

2. 5.6.2.

   Категории субъектов: субъекты персональных данных и их представители, направившие Оператору обращение или запрос.

3. 5.6.3.

   Перечень персональных данных: фамилия, имя, отчество; реквизиты документа, удостоверяющего личность, — в объёме, предусмотренном ч. 3 ст. 14 Закона о персональных данных; сведения, подтверждающие полномочия представителя; контактные данные; содержание обращения и ответа на него.

4. 5.6.4.

   Правовое основание: исполнение обязанностей, возложенных на Оператора Законом о персональных данных (п. 2 ч. 1 ст. 6 Закона о персональных данных).

5. 5.6.5.

   Перечень действий: сбор, запись, систематизация, хранение, извлечение, использование, удаление, уничтожение.

6. 5.6.6.

   Способ обработки: смешанная обработка.

7. 5.6.7.

   Срок хранения: 3 года с даты направления ответа на обращение.

Оператор не проверяет достоверность персональных данных, предоставляемых субъектами, и исходит из того, что субъект предоставляет достоверные сведения и поддерживает их в актуальном состоянии. Если субъект указывает персональные данные третьих лиц (например, в описании задачи), он подтверждает наличие у него законного основания для их передачи Оператору.

Сайт и услуги Оператора адресованы совершеннолетним дееспособным лицам и представителям организаций. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних. Если Оператору станет известно, что заявка направлена лицом, не достигшим 14 лет, без согласия его законного представителя, такие персональные данные уничтожаются.

Обработка персональных данных осуществляется с согласия субъекта, если иное не предусмотрено законодательством Российской Федерации, либо при наличии иных оснований, предусмотренных ч. 1 ст. 6 Закона о персональных данных и указанных в разделе 5.

Персональные данные собираются непосредственно у субъекта персональных данных. Если персональные данные представителя или контактного лица получены не от него, а от Заказчика, в связи с заключением или исполнением договора с Заказчиком, Оператор руководствуется ч. 4 ст. 18 Закона о персональных данных.

При сборе персональных данных граждан Российской Федерации, в том числе через Сайт, Оператор обеспечивает их запись, систематизацию, накопление, хранение, уточнение (обновление, изменение) и извлечение с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных). Данные, введённые в форму заявки, записываются непосредственно в базу данных, размещённую на территории Российской Федерации.

Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 Закона о персональных данных).

Доступ к персональным данным имеет Оператор. Иные лица могут получить доступ только в объёме, необходимом для выполнения порученных им функций, и при условии принятия ими обязательств о конфиденциальности, в том числе лица, осуществляющие обработку по поручению Оператора (раздел 7).

Персональные данные предоставляются органам государственной власти, судам и иным уполномоченным органам только в случаях и порядке, предусмотренных законодательством Российской Федерации, на основании надлежаще оформленного запроса.

Обработка персональных данных без использования средств автоматизации (при наличии документов на бумажном носителе) осуществляется в соответствии с Положением, утверждённым постановлением Правительства РФ от 15.09.2008 № 687: документы хранятся раздельно по целям обработки в условиях, исключающих несанкционированный доступ.

Субъект вправе в любой момент сообщить Оператору об изменении своих персональных данных; Оператор вносит изменения в порядке, установленном разделом 11.

Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора (ч. 3 ст. 6 Закона о персональных данных).

В поручении определяются перечень персональных данных, действий (операций) с ними и цели обработки; устанавливается обязанность лица соблюдать конфиденциальность персональных данных, требования ст. 18.1 и ст. 19 Закона о персональных данных, в том числе требование о локализации, и обязанность уведомлять Оператора о случаях неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных.

На дату вступления в силу настоящей редакции Политики обработка по поручению Оператора может осуществляться следующими категориями лиц:

• провайдер хостинга (центра обработки данных), расположенного на территории Российской Федерации, — в целях хранения базы данных и обеспечения работы Сайта, без права использования данных в собственных целях;
• провайдер почтового сервиса, обслуживающий адрес hello@smolin.dev, — в целях приёма, хранения и передачи электронных писем, адресованных Оператору.

Наименование и адрес конкретных лиц, осуществляющих обработку по поручению Оператора, сообщаются субъекту по его запросу (п. 9 ч. 7 ст. 14 Закона о персональных данных).

Лицо, осуществляющее обработку по поручению Оператора, не обязано получать согласие субъекта на обработку его персональных данных. Ответственность перед субъектом за действия такого лица несёт Оператор (ч. 4 и 5 ст. 6 Закона о персональных данных).

Уведомления о новых заявках, которые Оператор получает через мессенджер Telegram, не содержат персональных данных: в них передаются только порядковый номер заявки и служебная ссылка, открыть которую может только Оператор. Имя, адрес электронной почты и текст заявки в мессенджер не передаются.

Помимо лиц, указанных в п. 7.3, персональные данные могут быть предоставлены:

• Федеральной налоговой службе — в объёме сведений, указываемых в чеке при расчётах по договору в соответствии с Федеральным законом № 422-ФЗ (цель 3);
• кредитным организациям — в объёме, необходимом для проведения расчётов по договору (цель 3);
• судам, органам прокуратуры, правоохранительным и иным уполномоченным органам — в случаях и порядке, установленных законодательством Российской Федерации.

Персональные данные Пользователей не передаются рекламным сетям, системам веб-аналитики, брокерам данных и иным третьим лицам в коммерческих целях.

Оператор не осуществляет трансграничную передачу персональных данных, в том числе персональных данных, полученных через форму на Сайте.

Если субъект по собственной инициативе обращается к Оператору через мессенджер или почтовый сервис, инфраструктура которого находится за пределами Российской Федерации, передача сообщения этому сервису осуществляется самим субъектом по правилам соответствующего сервиса. Оператор не копирует персональные данные, полученные иными способами, в такие сервисы. Если вы не хотите, чтобы ваши данные обрабатывались иностранными сервисами, используйте форму на Сайте.

Если в будущем у Оператора возникнет необходимость в трансграничной передаче персональных данных, она будет начата только после направления уведомления в уполномоченный орган в соответствии со ст. 12 Закона о персональных данных (в редакции, действующей на момент передачи), при наличии правового основания и после внесения изменений в Политику.

Сроки обработки и хранения персональных данных определены для каждой цели в разделе 5. По истечении этих сроков персональные данные уничтожаются, если иное не предусмотрено федеральным законом или договором, стороной которого является субъект.

Условиями прекращения обработки персональных данных являются:

• достижение целей обработки или утрата необходимости в их достижении;
• истечение срока действия согласия или отзыв субъектом согласия, если отсутствуют иные основания для обработки;
• предъявление субъектом требования о прекращении обработки в случаях, предусмотренных ч. 5.1 ст. 21 Закона о персональных данных;
• выявление неправомерной обработки персональных данных, если обеспечить её правомерность невозможно;
• прекращение деятельности Оператора.

Оператор соблюдает следующие сроки, установленные ст. 21 Закона о персональных данных:

• при достижении цели обработки — прекращение обработки и уничтожение персональных данных в срок, не превышающий 30 дней с даты достижения цели (ч. 4 ст. 21);
• при отзыве согласия — прекращение обработки и уничтожение персональных данных не позднее 30 дней с даты получения отзыва согласия (ч. 5 ст. 21 152-ФЗ), если отсутствуют иные законные основания для обработки;
• при выявлении неправомерной обработки — прекращение такой обработки в срок, не превышающий 3 рабочих дней с даты выявления, а если обеспечить правомерность невозможно — уничтожение персональных данных в срок, не превышающий 10 рабочих дней с даты выявления, с уведомлением субъекта (ч. 3 ст. 21);
• при выявлении неточных персональных данных — их уточнение в течение 7 рабочих дней со дня представления подтверждающих сведений и снятие блокирования (ч. 2 ст. 21);
• при получении требования о прекращении обработки — прекращение обработки в срок, не превышающий 10 рабочих дней с даты получения требования, с возможностью продления не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления (ч. 5.1 ст. 21).

Если уничтожить персональные данные в указанные сроки невозможно, Оператор блокирует их и обеспечивает уничтожение в срок не более 6 месяцев, если иной срок не установлен федеральными законами (ч. 6 ст. 21 Закона о персональных данных).

Способы уничтожения персональных данных:

• в информационной системе — удаление записей из базы данных без возможности восстановления их содержания; из резервных копий, если они создаются, данные удаляются при плановой замене резервных копий, а до этого момента не используются;
• в переписке — удаление писем и сообщений в почтовом ящике и учётных записях Оператора;
• на бумажных носителях — измельчение (шредирование) или иной способ, исключающий восстановление.

Уничтожение персональных данных подтверждается в порядке, установленном приказом Роскомнадзора от 28.10.2022 № 179: актом об уничтожении персональных данных, а при обработке с использованием средств автоматизации — также выгрузкой из журнала регистрации событий в информационной системе персональных данных.

Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных (ч. 7 ст. 14 Закона о персональных данных), в том числе:

• подтверждения факта обработки персональных данных Оператором;
• правовых оснований и целей обработки;
• применяемых Оператором способов обработки;
• наименования и места нахождения Оператора, сведений о лицах, которые имеют доступ к персональным данным или которым они могут быть раскрыты;
• обрабатываемых персональных данных, относящихся к субъекту, и источника их получения;
• сроков обработки персональных данных, в том числе сроков их хранения;
• порядка осуществления субъектом прав, предусмотренных Законом о персональных данных;
• информации об осуществлённой или предполагаемой трансграничной передаче данных;
• наименования или фамилии, имени, отчества и адреса лица, осуществляющего обработку по поручению Оператора;
• информации о способах исполнения Оператором обязанностей, установленных ст. 18.1 Закона о персональных данных;
• иных сведений, предусмотренных федеральными законами.

Субъект вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки (ч. 1 ст. 14 Закона о персональных данных).

Субъект вправе в любой момент отозвать согласие на обработку персональных данных (ч. 2 ст. 9 Закона о персональных данных). Отзыв согласия не влияет на законность обработки, осуществлённой до отзыва. После отзыва Оператор вправе продолжить обработку без согласия при наличии оснований, указанных в п. 2–11 ч. 1 ст. 6 Закона о персональных данных.

Субъект вправе потребовать прекращения обработки своих персональных данных в случаях, предусмотренных ч. 5.1 ст. 21 Закона о персональных данных.

Субъект вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке, а также имеет право на защиту своих прав и законных интересов, в том числе на возмещение убытков и (или) компенсацию морального вреда в судебном порядке (ст. 17, 24 Закона о персональных данных).

Право субъекта на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ нарушает права и законные интересы третьих лиц.

Обращения и запросы по вопросам обработки персональных данных, отзыв согласия и требования субъекта направляются Оператору по адресу электронной почты hello@smolin.dev.

Запрос субъекта (его представителя) о предоставлении сведений должен содержать (ч. 3 ст. 14 Закона о персональных данных):

• номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта в отношениях с Оператором (например, адрес электронной почты, указанный в заявке, дату заявки, номер договора), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
• подпись субъекта или его представителя.

Запрос может быть направлен в форме электронного документа, подписанного электронной подписью в соответствии с законодательством Российской Федерации. Представитель прикладывает документ, подтверждающий его полномочия.

Для удобства субъектов Оператор также рассматривает обращения, направленные с адреса электронной почты, указанного субъектом при отправке заявки или в переписке с Оператором. В этом случае сведения предоставляются и действия совершаются только в отношении персональных данных, связанных с этим адресом, а при сомнениях в личности заявителя Оператор вправе запросить сведения, указанные в п. 11.2.

Сведения предоставляются субъекту в доступной форме, без персональных данных других субъектов, в течение 10 рабочих дней с момента обращения либо получения запроса. Срок может быть продлён не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления с указанием причин продления (ч. 3 ст. 14 Закона о персональных данных). Ответ направляется в той форме, в которой направлено обращение, если в обращении не указано иное.

В случае отказа в предоставлении информации Оператор направляет мотивированный ответ со ссылкой на положение федерального закона, являющееся основанием для отказа, в течение 10 рабочих дней с момента обращения с возможностью продления на 5 рабочих дней в том же порядке (ч. 2 ст. 20 Закона о персональных данных).

Если сведения были предоставлены субъекту по его запросу, повторный запрос допускается не ранее чем через 30 дней после первоначального обращения, если более короткий срок не установлен федеральным законом, договором или если сведения не были предоставлены в полном объёме (ч. 4 и 5 ст. 14 Закона о персональных данных).

По запросу уполномоченного органа по защите прав субъектов персональных данных Оператор сообщает необходимую информацию в течение 10 рабочих дней с даты получения запроса с возможностью продления на 5 рабочих дней при направлении мотивированного уведомления (ч. 4 ст. 20 Закона о персональных данных).

Обращения рассматриваются бесплатно.

Оператор принимает меры, необходимые и достаточные для выполнения обязанностей, предусмотренных Законом о персональных данных (ст. 18.1), в том числе:

• издание настоящей Политики и её опубликование на Сайте;
• оформление согласия на обработку персональных данных отдельным документом и фиксация факта, даты, версии и условий его получения;
• определение для каждой цели обработки состава данных, оснований и сроков (раздел 5) и недопущение обработки избыточных данных;
• оценка вреда, который может быть причинён субъектам в случае нарушения Закона о персональных данных, в соответствии с приказом Роскомнадзора от 27.10.2022 № 178;
• осуществление внутреннего контроля соответствия обработки персональных данных Закону о персональных данных и принятым в соответствии с ним нормативным правовым актам;
• уведомление уполномоченного органа об обработке персональных данных в случаях, предусмотренных ст. 22 Закона о персональных данных.

Для обеспечения безопасности персональных данных при их обработке Оператор применяет правовые, организационные и технические меры (ст. 19 Закона о персональных данных), в том числе:

• определение угроз безопасности персональных данных при их обработке в информационной системе и уровня защищённости персональных данных в соответствии с постановлением Правительства РФ от 01.11.2012 № 1119;
• ограничение доступа к базе данных заявок: доступ имеет только Оператор после аутентификации; служебная сессия подтверждается подписанным криптографическим ключом идентификатором в cookie с атрибутами HttpOnly, Secure и SameSite;
• передача данных между браузером и Сайтом только по защищённому протоколу HTTPS с включённым механизмом HSTS;
• применение заголовков безопасности, запрещающих встраивание Сайта в сторонние страницы и ограничивающих передачу сведений о переходах (X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy);
• серверная проверка входящих данных формы: ограничение длины полей, проверка формата, отклонение заявок без отметки о согласии, фильтрация автоматических отправок с помощью скрытого поля-ловушки;
• исключение персональных данных из технических уведомлений, передаваемых через внешние сервисы (п. 7.5);
• размещение базы данных на территории Российской Федерации;
• учёт машинных носителей персональных данных и обеспечение их сохранности;
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним, — в пределах имеющихся резервных копий;
• контроль за принимаемыми мерами по обеспечению безопасности персональных данных.

В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов, Оператор с момента выявления такого инцидента уведомляет уполномоченный орган: в течение 24 часов — об инциденте, его предполагаемых причинах, предполагаемом вреде и принятых мерах, в течение 72 часов — о результатах внутреннего расследования и о лицах, действия которых стали причиной инцидента (при наличии) (ч. 3.1 ст. 21 Закона о персональных данных).

Оператор взаимодействует с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации в случаях и порядке, предусмотренных ч. 12 ст. 19 Закона о персональных данных.

Посетителям публичных страниц Сайта файлы cookie не устанавливаются. Единственный файл cookie на Сайте является строго необходимым и используется исключительно для работы служебного раздела, доступного только Оператору.

На Сайте не используются системы веб-аналитики (в том числе Яндекс Метрика и Google Analytics), рекламные пиксели, счётчики и иные сторонние средства отслеживания. Шрифты, изображения и иные ресурсы Сайта загружаются с сервера Сайта, без обращения браузера посетителя к серверам третьих лиц.

Подробные сведения о файлах cookie и порядок, который будет применён при подключении аналитики, — в документе «Политика использования файлов cookie».

При разработке, доработке, сопровождении и поддержке сайтов, приложений и информационных систем Заказчиков Оператор может получать доступ к персональным данным, оператором которых является Заказчик (например, к данным пользователей, клиентов или работников Заказчика).

В таких случаях Оператор выступает лицом, осуществляющим обработку персональных данных по поручению Заказчика (ч. 3 ст. 6 Закона о персональных данных): обрабатывает персональные данные только в объёме и в целях, определённых поручением, соблюдает их конфиденциальность и требования ст. 19 Закона о персональных данных и не использует их в собственных целях.

Условия такой обработки, включая перечень действий, меры защиты, порядок уведомления об инцидентах и возврата или уничтожения данных по окончании работ, определяются договором с Заказчиком.

Настоящая Политика к указанным персональным данным не применяется. Субъекты таких персональных данных реализуют свои права, обращаясь к соответствующему Заказчику как к оператору; Оператор оказывает Заказчику содействие в рассмотрении таких обращений в пределах поручения.

При разработке и тестировании Оператор, насколько это возможно, использует тестовые или обезличенные данные вместо реальных персональных данных.

Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с даты её размещения на Сайте, если иное не предусмотрено новой редакцией. Номер действующей редакции и дата вступления её в силу указаны в начале документа.

Изменения, расширяющие цели обработки, состав обрабатываемых персональных данных или круг их получателей, вносятся в Политику до начала соответствующей обработки. Если для новой обработки требуется согласие субъекта, Оператор получает его отдельно.

Предыдущие редакции Политики и согласия на обработку персональных данных хранятся Оператором и предоставляются по запросу субъекта.

К Политике и отношениям, возникающим в связи с её применением, применяется законодательство Российской Федерации. Если какое-либо положение Политики противоречит законодательству, применяются нормы законодательства.

По всем вопросам, связанным с обработкой персональных данных, можно обратиться к Оператору по адресу hello@smolin.dev.