Политика обработки персональных данных
[наименование юрлица] (сайт NAZAVOD)
Редакция от [дата]. Утверждена приказом [наименование юрлица] от [дата] № [номер].
1. Общие положения
1.1. Настоящая Политика определяет порядок и условия обработки персональных данных пользователей сайта NAZAVOD [адрес сайта] (далее — Сайт) и личного кабинета на Сайте, а также меры по защите персональных данных.
1.2. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и принятыми в соответствии с ним нормативными актами.
1.3. Политика опубликована в свободном доступе на Сайте (ч. 2 ст. 18.1 Закона) по адресу [адрес страницы].
1.4. Политика не является согласием на обработку персональных данных. Согласие оформляется отдельным документом «Согласие на обработку персональных данных», размещённым на Сайте по адресу [адрес страницы согласия].
2. Сведения об операторе
| Реквизит | Значение |
|---|---|
| Наименование | [наименование юрлица] |
| ИНН / ОГРН | [ИНН/ОГРН] |
| Адрес | [адрес] |
| Адрес для запросов субъектов ПД | [e-mail для запросов] |
| Ответственный за организацию обработки ПД | [Ф. И. О., должность] |
| Регистрационный номер в реестре операторов РКН | [номер] (после подачи уведомления) |
3. Термины
3.1. Персональные данные (ПД) — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту ПД).
3.2. Обработка ПД — любое действие (операция) или совокупность действий с ПД: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
3.3. Пользователь — физическое лицо, которое заполняет форму заявки, регистрируется в личном кабинете или иным образом передаёт ПД через Сайт, в том числе как представитель организации-заказчика.
3.4. Завод-партнёр (Исполнитель) — юридическое лицо или индивидуальный предприниматель, которому Оператор поручает изготовление продукции по заказу Пользователя.
3.5. Трансграничная передача ПД — передача ПД на территорию иностранного государства органу власти, физическому или юридическому лицу.
4. Категории субъектов и состав ПД
4.1. Оператор обрабатывает ПД следующих субъектов:
- пользователей Сайта, направивших заявку;
- пользователей, зарегистрированных в личном кабинете;
- представителей (работников) организаций-заказчиков;
- лиц, сведения о которых содержатся в загруженных Пользователем файлах (см. п. 4.3).
4.2. Состав обрабатываемых ПД:
| Данные | Обязательность | Источник |
|---|---|---|
| Имя (фамилия, имя, отчество — по выбору Пользователя) | обязательно | форма заявки, кабинет |
| Номер телефона | обязательно | форма заявки, кабинет |
| Адрес электронной почты | обязательно | форма заявки, кабинет |
| Наименование организации | обязательно | форма заявки, кабинет |
| Должность | необязательно | форма заявки, кабинет |
| Загруженные файлы (чертежи, 3D-модели, фотографии, технические задания) | по необходимости | форма заявки, кабинет |
| Переписка в личном кабинете | — | кабинет |
| Логин и хеш пароля учётной записи | обязательно для кабинета | кабинет |
| Технические данные: IP-адрес, сведения о браузере и устройстве, дата и время доступа, cookie-файлы | автоматически | Сайт |
4.3. Файлы. Чертежи и иные загружаемые документы могут содержать ПД третьих лиц: фамилии разработчика, проверяющего, утверждающего в основной надписи (штампе) чертежа, подписи, изображения людей на фотографиях. Пользователь подтверждает, что вправе передать такие сведения Оператору. Оператор рекомендует удалять из файлов ФИО и подписи, если они не нужны для изготовления. Оператор не использует сведения из файлов для целей, не связанных с исполнением заказа.
4.4. Cookie и аналитика. Состав технических данных зависит от того, какие сервисы будут подключены к боевому Сайту. На дату редакции Политики сервисы веб-аналитики [не подключены / подключены: указать — например, «Яндекс Метрика» (ООО «Яндекс», РФ)]. При подключении иностранных сервисов аналитики (например, Google Analytics) возникает трансграничная передача — см. раздел 9. Пользователь может отключить cookie в настройках браузера; при этом отдельные функции Сайта (вход в кабинет) могут стать недоступны.
4.5. Оператор не обрабатывает специальные категории ПД (ст. 10 Закона) и биометрические ПД (ст. 11 Закона). Фотографии изделий и производственных объектов не используются для установления личности.
5. Цели и правовые основания обработки
| № | Цель | Состав ПД | Правовое основание |
|---|---|---|---|
| 1 | Рассмотрение заявки и подготовка коммерческого предложения (расчёт стоимости и сроков) | имя, телефон, e-mail, организация, должность, файлы | согласие субъекта (п. 1 ч. 1 ст. 6 Закона); действия по запросу субъекта до заключения договора (п. 5 ч. 1 ст. 6) |
| 2 | Заключение и исполнение договора на изготовление продукции, в том числе передача заказа заводам-партнёрам | то же | п. 5 ч. 1 ст. 6 Закона — если стороной договора является сам субъект (ИП, физлицо); согласие субъекта (п. 1 ч. 1 ст. 6) — для представителей организаций; законный интерес оператора (п. 7 ч. 1 ст. 6) |
| 3 | Связь с Пользователем по заявке и заказу (звонки, письма, сообщения в кабинете) | имя, телефон, e-mail, переписка | то же, что для целей 1–2 |
| 4 | Регистрация и ведение личного кабинета, хранение истории заказов | все ПД из п. 4.2 | согласие субъекта; исполнение договора |
| 5 | Обеспечение работоспособности и безопасности Сайта | технические данные | законный интерес оператора (п. 7 ч. 1 ст. 6 Закона) |
| 6 | Исполнение обязанностей по бухгалтерскому и налоговому учёту | ПД, содержащиеся в договорах и первичных документах | исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6 Закона) |
5.1. Рассылки рекламного характера Оператор не ведёт. Если такая цель появится, на неё будет запрашиваться отдельное согласие; отказ от него не повлияет на рассмотрение заявки и заключение договора.
5.2. Оператор не принимает решений, порождающих юридические последствия для Пользователя, исключительно на основании автоматизированной обработки ПД. Автоматический предварительный расчёт стоимости в кабинете носит справочный характер; итоговое предложение формирует сотрудник Оператора.
6. Действия с ПД и способы обработки
6.1. Оператор совершает с ПД действия, перечисленные в п. 3.2, смешанным способом: с использованием средств автоматизации и без них.
6.2. Оператор не распространяет ПД (не раскрывает неограниченному кругу лиц) и не публикует их на Сайте.
7. Передача ПД заводам-партнёрам
7.1. Для изготовления продукции Оператор передаёт заводу-партнёру, выбранному для конкретного заказа, ПД в минимальном объёме, необходимом для изготовления и отгрузки:
- файлы заказа (чертежи, модели, ТЗ), по возможности — без ФИО в основной надписи;
- при необходимости прямого технического согласования — имя, телефон и e-mail контактного лица Пользователя;
- для отгрузки — имя и телефон получателя, адрес доставки.
7.2. Обработка ПД заводом-партнёром осуществляется по поручению Оператора (ч. 3 ст. 6 Закона) на основании договора, в котором определены:
- перечень действий с ПД и цели обработки (только изготовление и отгрузка по заказу);
- обязанность соблюдать конфиденциальность и обеспечивать безопасность ПД по ст. 19 Закона;
- запрет передавать ПД дальше без письменного согласия Оператора;
- обязанность уничтожить ПД по окончании заказа или по требованию Оператора;
- обязанность уведомить Оператора об инциденте с ПД в срок, позволяющий Оператору уведомить Роскомнадзор в течение 24 часов (ч. 3.1 ст. 21 Закона).
7.3. Ответственность перед субъектом за действия завода-партнёра несёт Оператор (ч. 5 ст. 6 Закона). Завод-партнёр отвечает перед Оператором.
7.4. Перечень заводов-партнёров, которым может поручаться обработка ПД (наименование, ИНН, адрес), размещён на Сайте по адресу [адрес страницы перечня] и поддерживается в актуальном состоянии. Пользователь может запросить, какому конкретно заводу передан его заказ, по адресу [e-mail для запросов].
7.5. Иным третьим лицам ПД передаются только:
- по поручению Оператора лицам, обеспечивающим работу Сайта и инфраструктуры (хостинг-провайдер [наименование, адрес], сервис отправки электронной почты [наименование], служба доставки [наименование]) — на условиях п. 7.2;
- государственным органам — в случаях, предусмотренных законом.
8. Место хранения ПД (локализация)
8.1. Запись, систематизация, накопление, хранение, уточнение и извлечение ПД граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона).
8.2. Сведения о месте нахождения баз данных: виртуальный сервер хостинг-провайдера RuVDS в центре обработки данных на территории Российской Федерации [уточнить наименование юрлица провайдера и адрес ЦОД по договору].
9. Трансграничная передача ПД
9.1. Оператор не осуществляет трансграничную передачу ПД. Шрифты, скрипты и иные ресурсы Сайта размещены на сервере Оператора в Российской Федерации.
10. Сроки обработки и хранения
| ПД | Срок |
|---|---|
| Данные заявки, по которой договор не заключён | 1 год с даты последнего обращения либо до отзыва согласия |
| Данные кабинета и переписка | до удаления учётной записи или отзыва согласия; по исполненным заказам — 3 года после завершения заказа (срок исковой давности, ст. 196 ГК РФ) |
| ПД в договорах и первичных учётных документах | 5 лет (ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте») |
| Технические данные и журналы доступа | [срок, например 12 месяцев] |
10.1. По достижении целей обработки, по истечении срока или при отзыве согласия ПД уничтожаются в течение 30 дней (ч. 4, 5 ст. 21 Закона), если иное не предусмотрено законом. Уничтожение оформляется актом в соответствии с требованиями Роскомнадзора (приказ от 28.10.2022 № 179).
11. Права субъекта ПД
11.1. Пользователь вправе:
- получить сведения об обработке своих ПД (ч. 7 ст. 14 Закона);
- требовать уточнения, блокирования или уничтожения ПД, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
- отозвать согласие на обработку ПД;
- узнать, каким третьим лицам переданы его ПД;
- обжаловать действия Оператора в Роскомнадзоре или в суде.
11.2. Запрос направляется на [e-mail для запросов] или почтой по адресу [адрес]. Запрос должен позволять идентифицировать Пользователя (например, содержать e-mail учётной записи и номер заявки).
11.3. Оператор отвечает на запрос в течение 10 рабочих дней со дня получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ч. 3 ст. 14, ч. 1 ст. 20 Закона).
11.4. При отзыве согласия Оператор прекращает обработку и уничтожает ПД в течение 30 дней, если отсутствуют иные законные основания обработки (например, исполнение заключённого договора или требования бухгалтерского учёта).
12. Меры по защите ПД
12.1. Оператор принимает правовые, организационные и технические меры по ст. 18.1 и 19 Закона, в том числе:
- назначает ответственного за организацию обработки ПД;
- утверждает локальные акты по обработке ПД и знакомит с ними работников;
- определяет угрозы безопасности и уровень защищённости информационной системы ПД (постановление Правительства РФ от 01.11.2012 № 1119);
- ограничивает доступ к ПД кругом работников, которым он необходим для работы;
- передаёт данные по защищённому протоколу (HTTPS), хранит пароли в виде хеша;
- ведёт учёт действий с ПД и проводит внутренний контроль;
- при выявлении инцидента уведомляет Роскомнадзор в течение 24 часов и о результатах расследования — в течение 72 часов (ч. 3.1 ст. 21 Закона).
13. Заключительные положения
13.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента публикации на Сайте, если иное не указано в ней. Предыдущие редакции хранятся и предоставляются по запросу.
13.2. Вопросы по Политике направляются на [e-mail для запросов].