Политика обработки персональных данных Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее – «Политика») является обязательным к применению всеми сотрудниками ООО «Диаэм» локальным нормативно-правовым актом, определяющим политику ООО «Диаэм» (далее – «Общество», «Оператор») в отношении обработки персональных данных и устанавливающим процедуры, направленные на предотвращение и выявление нарушений законодательства, регулирующего правоотношения, связанные с обработкой персональных данных, устранение последствий таких нарушений.

1.2. Настоящая Политика составлена в соответствии с Конституцией РФ, Федеральным законом «О персональных данных» от 27.07.2006 N 152-ФЗ, а также иными нормативно-правовыми актами в области защиты и обработки персональных данных и действует в отношении всех персональных данных, которые Оператор может получить от субъекта персональных данных, являющегося пользователем Сайта, стороной по гражданско-правовому договору, участником выставки, семинара, конференции и иных мероприятий (далее – «участник мероприятия») с участием Оператора.

1.3. Оператор обеспечивает защиту обрабатываемых персональных данных от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями Федерального закона «О персональных данных» от 27.07.2006 N 152-ФЗ и настоящей Политикой.

1.4. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента размещения на Сайте.

1.5. Пользователь Сайта, сторона по гражданско-правовому договору (в том числе покупатель), участник мероприятий с участием Общества предоставляя персональные данные, выражает свое согласие с условиями настоящей Политики.

2. Термины и определения

Сайт – совокупность программ для электронных вычислительных машин и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно-телекоммуникационной сети Интернет по доменному имени, позволяющем идентифицировать сайт в сети Интернет. Под Сайтом понимается Сайт, расположенный в сети Интернет под доменным именем dia-m.ru и/или приложение для мобильных устройств.

Пользователь – пользователь Сайта, имеющий или не имеющий свою личную страницу (профиль) на нем, посещающий Сайт:

• - с целью получения доступа к информации, размещенной на Сайте, и/или его функционалу;

• - с целью вступления с Оператором в договорные отношения или без такой цели.

В целях настоящей Политики права и обязанности Оператора, предусмотренные настоящей Политикой, по обработке персональных данных распространяются на персональные данные физических лиц, не являющихся Пользователями Сайта, имеющих намерения вступить или вступивших в правоотношения с Оператором без использования Сайта.

Федеральный закон – Федеральный закон «О персональных данных» от 27.07.2006 N 152-ФЗ.

Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).

Оператор – юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными. Оператором является Общество с ограниченной ответственностью «Диаэм» (ИНН 7743841430; 1127746012580; адрес: Россия, 129345, г. Москва ул. Магаданская, д. 7, корпус 3, эт. 2, офис 210).

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных. Обработка персональных данных включает в себя, в том числе:

• - сбор;

• - запись;

• - систематизацию;

• - накопление;

• - хранение;

• - уточнение (обновление, изменение);

• - извлечение;

• - использование;

• - передачу (распространение, предоставление, доступ);

• - обезличивание;

• - блокирование;

• - удаление;

• - уничтожение.

Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.

Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

Предоставление персональных данных – действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

Блокирование персональных данных – блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

Обезличивание персональных данных – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

3. Цели Политики

3.1. Целями настоящей Политики являются:

3.1.1. Обеспечение требований защиты прав и свобод человека и гражданина при обработке персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

3.1.2. Исключение несанкционированных действий сотрудников Оператора и третьих лиц по обработке персональных данных, обеспечение правового режима конфиденциальности персональных данных пользователей; защита конституционных прав граждан на личную тайну, конфиденциальность сведений, составляющих персональные данные.

4. Источники получения персональных данных Оператором

4.1. Источником персональных данных в зависимости от субъекта их предоставления является:

4.1.1. Непосредственно сам субъект персональных данных.

4.1.2. Третьи лица в случае, если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

4.2. Источником сведений, содержащих персональные данные, в зависимости от способа и/или формы их предоставления является:

4.2.1. Регистрация Пользователя на Сайте.

4.2.2. Оформление Пользователем подписки на новости и рассылки, исходящие от Оператора.

4.2.3. Заполнение Пользователем Сайта форм обратной связи.

4.2.4. Заполнение анкет на мероприятиях с участием Оператора (любая форма участия);

4.2.5. Передача персональных данных для целей вступления в обязательственные, договорные правоотношения.

4.2.6. Передача персональных данных третьим лицом в случае, если обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных.

4.3. Персональные данные относятся к конфиденциальной информации.

4.4. Оператор не вправе обрабатывать персональные данные субъекта персональных данных о его расовой, национальной принадлежности, политических взглядах, религиозных или иных убеждениях, частной жизни.

5. Принципы и цели обработки персональных данных

5.1. Принципы обработки персональных данных:

5.1.1. Законность и справедливость - обработка персональных данных должна осуществляться на законной и справедливой основе.

5.1.2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей.

5.1.3. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.

5.1.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.

5.1.4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.

5.1.5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

5.1.6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных.

5.1.7. Хранение персональных данных должно осуществляться не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен Федеральным законом, договором и иными документами, стороной которого является субъект персональных данных.

5.2. Цели обработки персональных данных:

5.2.1. Предоставление Пользователю доступа к информации и/или функционалу Сайта;

5.2.2. Заключение и исполнение договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;

5.2.3. Вступление Оператора и субъекта персональных данных в обязательственные правоотношения, за исключением правоотношений, предусмотренных пунктом 5.2.2 настоящей Политики.

5.2.4. Информирование субъекта персональных данных о товарах и услугах Оператора, скидках и рекламных акциях, о мероприятиях, об изменении сведений об Операторе (реквизиты и т.п.), о вступлении в силу, изменении, прекращении действия правил, регулирующих правоотношения Оператора и Пользователя.

5.2.5. Для осуществления прав и законных интересов Оператора и/или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных.

5.2.6. Для защиты жизни, здоровья или иных жизненно важных интересов субъекта персональных данных (безотносительно наличия или отсутствия согласия субъекта персональных данных на обработку Оператором таких данных).

6. Способы обработки персональных данных

Персональные данные Пользователей обрабатываются с использованием средств автоматизации и без использования средств автоматизации.

7. Права субъекта персональных данных

7.1. Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в том числе содержащей:

• 1) подтверждение факта обработки персональных данных Оператором;

• 2) правовые основания и цели обработки персональных данных;

• 3) применяемые Оператором способы обработки персональных данных;

• 4) наименование и место нахождения Оператора, сведения о лицах (за исключением работников Оператора), которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Оператором или на основании федерального закона;

• 5) обрабатываемые персональные данные, относящиеся к соответствующему субъекту персональных данных, источник их получения, если иной порядок представления таких данных не предусмотрен федеральным законом;

• 6) сроки обработки персональных данных, в том числе сроки их хранения;

• 7) порядок осуществления субъектом персональных данных прав, предусмотренных настоящим Федеральным законом;

• 8) информацию об осуществленной или о предполагаемой трансграничной передаче данных;

• 9) наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка поручена или будет поручена такому лицу;

• 10) иные сведения, предусмотренные Федеральным законом или другими федеральными законами.

Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с Федеральным законом и иными федеральными законами, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.

7.2. Требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

7.3. Права субъекта персональных данных, предусмотренные пунктами 7.1-7.2 настоящей Политики могут быть реализованы путем направления запроса субъекта персональных данных или его представителем к Оператору в письменной форме, в том числе путем направления сообщения с вложением сканированного образа запроса о предоставлении указанных сведений либо в форме электронного документа, подписанного электронной-цифровой подписью субъекта персональных данных или его представителя. Запрос должен содержать номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором. Способы доставки корреспонденции предусмотрены пунктами 13.5 и 13.6 настоящей Политики.

8. Права и обязанности Оператора

8.1. При получении письменного запроса субъекта персональных данных или его представителя Оператор обязан в течение 30 дней с даты получения запроса предоставить сведения в требуемых субъектом персональных данных пределах с учетом положений Федерального закона и настоящей Политики. Такие сведения должны быть предоставлены субъекту персональных данных в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, если имеются законные основания для раскрытия таких персональных данных.

8.2. Вся входящая корреспонденция, в том числе поступившая в электронной форме регистрируется в соответствии с порядком, установленным Оператором.

8.3. В случае отказа в предоставлении субъекту персональных данных или его представителю по запросу информации о наличии персональных данных о соответствующем субъекте персональных данных Оператор обязан предоставить в письменной форме мотивированный ответ, содержащий ссылку на положение Федерального закона или иного федерального закона, являющееся основанием для такого отказа.

8.4. В случае получения запроса от уполномоченного органа по защите прав субъектов персональных данных о предоставлении информации, необходимой для осуществления деятельности указанного органа, Оператор обязан сообщить такую информацию в уполномоченный орган в течение 30 дней с даты получения такого запроса.

8.5. В случае выявления неправомерной обработки персональных данных при обращении или по запросу субъекта персональных данных или его представителя либо уполномоченного органа по защите прав субъектов персональных данных Оператор обязан осуществить блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки.

8.6. В случае выявления неправомерной обработки персональных данных Оператор обязан незамедлительно прекратить неправомерную обработку персональных данных.

8.7. Оператор обязан прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий 30 календарных дней с даты получения обращения от субъекта персональных данных или его представителя, согласно которому согласие на обработку его персональных данных отзывается, а в случае, если такое согласие не требовалось в соответствии с Федеральным законом и настоящей Политикой – с даты получения Оператором обращения о прекращении обработки персональных данных.

8.8. В случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, предусмотренных Федеральным законом.

9. Конфиденциальность персональных данных

9.1. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных в противоречии с положениями Федерального закона и настоящей Политики.

9.2. Оператор не раскрывает третьим лицам и не распространяет персональные данные без согласия на это субъекта персональных данных, если иное не предусмотрено Федеральным законом и настоящей Политикой.

9.3. Третьи лица, осуществляющие обработку персональных данных по поручению Оператора в соответствии с пунктом 5.2.2 и пунктом 5.2.3 настоящей Политики, обязаны соблюдать требования Федерального закона и настоящей Политики.

9.4. Действия, направленные на раскрытие Оператором персональных данных Пользователя неопределенному кругу лиц запрещены.

10. Категории персональных данных. Лица, имеющие доступ к персональным данным.

10.1. Для целей настоящей Политики Оператором установлены следующие категории персональных данных:

• - Обязательные – персональные данные, необходимые для надлежащего исполнения обязательств по договору и/или для организации мероприятия.

• - Факультативные - персональные данные, которые могут быть запрошены у субъекта персональных данных в случае, если имеются основания полагать, что надлежащее исполнение обязательств Оператором невозможно или существенно затруднено либо в случае, если это необходимо для защиты интересов Оператора в соответствии с гражданским процессуальным законодательством РФ.

10.1.1. К обязательным персональным данным относятся:

• - фамилия, имя, отчество (при наличии);

• - телефон (мобильный и/или рабочий);

• - электронная почта;

• - организация (при наличии).

10.1.2. К факультативным персональным данным относятся:

• - паспортные данные: фамилия, имя, отчество (при наличии), серия, номер, наименование органа, выдавшего паспорт, дата выдачи, код подразделения, адрес регистрации и др. паспортные данные (исключительно в случае, если паспортные данные получателя – субъекта персональных данных обязательны для перевозки товара в соответствии с законодательством РФ);

• - должность;

• - наименование структурного подразделения (например: лаборатория, кафедра и тд.);

• - банковские реквизиты;

• - адрес для доставки;

• - адрес регистрации;

• - фактический адрес проживания;

• - налоговое резидентство;

• - гражданство;

• - пол;

• - идентификационный номер налогоплательщика (ИНН);

• - номер страхового свидетельства государственного пенсионного страхования (СНИЛС);

• - дата рождения;

• - образование;

• - наименование образовательного учреждения;

• - IP-адрес;

• - cookie Пользователя;

• - логин;

• - прочие данные, которые Пользователь добровольно предоставляет Оператору.

10.2. Лица, имеющие право доступа к персональным данным:

10.2.1. Правом доступа к персональным данным обладают сотрудники Оператора.

10.2.2. Оператор вправе ограничивать доступ к персональным данным отдельные категории сотрудников Оператора либо одному или более сотрудникам Оператора.

10.2.3. Оператор передает персональные данные третьим лицам исключительно в целях исполнения обязательств по договору или по иным обязательственным правоотношениям.

11. Места и сроки хранения персональных данных

11.1. Места хранения персональных данных.

11.1.1. Персональные данные, содержащиеся на бумажном или ином физическом носителе, хранятся в местах хранения, исключающих доступ к ним лиц, не являющихся сотрудниками Оператора, а также сотрудников Оператора, которым доступ к персональным данным запрещен локальным нормативно-правовым актом Оператора, в запираемом помещении и/или в запираемых шкафах.

11.1.2. Персональные данные, кроме данных, предусмотренных пунктом 11.1.1 настоящей Политики, хранятся на Сайте, сервере.

11.2. Хранение сведений, содержащих персональные данные, в открытых электронных каталогах и в информационных системах запрещено.

11.3. Сроки хранения персональных данных.

11.3.1. Хранение персональных данных, предусмотренных пунктом 11.1.1 настоящей Политики, производится до тех пор, пока Пользователь не заявит о своем желании прекратить хранение своих персональных данных Оператором.

11.3.2. Хранение персональных данных, предусмотренных пунктом 11.1.2 настоящей Политики, производится до тех пор, пока Пользователь не заявит о своем желании удалить свои персональные данные с Сайта.

11.4. По истечении сроков хранения персональных данных Пользователя его персональные данные уничтожаются.

11.5. В случае отсутствия возможности уничтожения персональных данных Оператор осуществляет блокирование таких персональных данных.

11.6. Уничтожение персональных данных, предусмотренных пунктом 11.1.1 настоящей Политики, осуществляется путем уничтожения носителя персональных данных.

11.7. Уничтожение персональных данных, предусмотренных пунктом 11.1.2 настоящей Политики, осуществляется путем удаления сведений о персональных данных из всех электронных баз и информационных систем.

12. Меры по обеспечению безопасности персональных данных при их обработке

12.1. Оператор при обработке персональных данных принимает необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

12.2. Обеспечение безопасности персональных данных достигается, в частности:

• - определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

• - применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности персональных данных;

• - применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;

• - оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;

• - учетом машинных носителей персональных данных;

• - обнаружением фактов несанкционированного доступа к персональным данным и принятием мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них;

• - восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;

• - обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;

• - контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.

12.3. Мерами защиты персональных данных, используемыми Оператором, являются:

12.3.1. Разработка настоящей Политики, беспрекословное следование ее положениям, положениям Федерального закона и иным нормативным правовым актам в сфере защиты персональных данных.

12.3.2. Определение (с учетом особенностей обработки персональных данных) актуальных угроз безопасности персональных данных при их обработке и проведение мероприятий по их защите.

12.3.3. Назначение лица, ответственного за обработку персональных данных, которое осуществляет организацию обработки персональных данных, обучение и инструктаж, внутренний контроль за соблюдением учреждением и его работниками требований к защите персональным данным.

12.3.4. Установление правил и индивидуальных кодов доступа к персональным данным, обрабатываемым в информационной системе.

12.3.5. Обеспечение регистрации и учета всех действий, совершаемых с персональными данными в информационной системе.

12.3.6. Применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации.

12.3.7. Использование антивирусного программного обеспечения.

12.3.8. Создание условий, обеспечивающих сохранность персональных данных и исключающих несанкционированный доступ к ним.

12.3.9. Мониторинг фактов несанкционированного доступа к персональным данным и при его наличии принятие соответствующих мер.

12.3.10. Восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.

12.4. Все сотрудники Оператора, осуществляющие и/или осуществлявшие обработку персональных данных, обязаны не разглашать сведения, содержащие персональные данные.

12.5. Лица, виновные в нарушении требований настоящей Политики, несут предусмотренную законодательством РФ ответственность.

13. Заключительные положения

13.1. Настоящая Политика вступает в силу с даты её утверждения Оператором и размещения на Сайте.

13.2. Получая доступ к Сайту Пользователь, предоставивший сведения о его персональных данных, выражает свое согласие на их обработку в соответствии с Федеральным законом и настоящей Политикой.

При регистрации на Сайте согласие на обработку персональных данных дается Пользователем путем проставления галочки в веб-форме, подтверждающей согласие Пользователя с положениями настоящей Политики.

Согласие на обработку персональных данных может быть выражено конклюдентными действиями Пользователя, в том числе:

• - оформлением заказа через Сайт либо в электронной переписке;

• - вступлением в переговоры с Оператором если при этом Пользователь передает свои персональные данные.

13.3. В случае изменения действующего законодательства РФ, внесения изменений в нормативные документы по защите персональных данных настоящая Политика действует в части, не противоречащей действующему законодательству до приведения ее в соответствие с ним.

13.4. Несущественные изменения настоящей Политики производятся Оператором без предварительного уведомления субъекта персональных данных. В случае изменения существенных условий настоящей Политики Оператор извещает об этом субъекта персональных данных путем размещения на Сайте соответствующего сообщения в открытой части Сайта и/или в личном кабинете пользователя.

13.5. В случае, если субъект персональных данных не согласен с условиями настоящей Политики или желает отозвать согласие на обработку его персональных данных он вправе отозвать свое согласие на обработку персональных данных, направив письменное заявление в произвольной форме на электронный почтовый ящик Оператора: support@dia-m.ru (В теме сообщения рекомендуется указать: «Удаление учетной записи и персональных данных») или заказным письмом с уведомлением по адресу: 129345, г. Москва ул. Магаданская, д. 7, корпус 3, эт. 2, офис 210.

В запросе необходимо указать адрес электронной почты и/или номер телефона, использованные при регистрации учетной записи, чтобы Оператор мог идентифицировать Пользователя и исключить удаление данных по запросу постороннего лица.

13.6. Обращение субъекта персональных данных об уточнении его персональных данных может быть направлено любым из способов, предусмотренных пунктом 13.5 настоящей Политики.

13.7. Удаление учетной записи означает прекращение доступа к личному кабинету, истории и другим функциям, доступным только зарегистрированным Пользователям. Возможность восстановления удаленной учетной записи и связанных с ней удаленных данных Оператором не гарантируется.

13.8. Удаление учетной записи не означает обязательного удаления информации, которую Оператор обязан сохранять в соответствии с законодательством Российской Федерации либо которая необходима для исполнения или подтверждения ранее заключенных договоров, совершенных заказов, платежей, бухгалтерских и налоговых обязательств. Такие данные хранятся только в течение установленного законодательством срока и не используются для иных целей.