1. Общие положения
1.1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — Политика) разработана Группой компаний «ВЕНА» (далее — Оператор, ГК «ВЕНА») в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», иными федеральными законами и подзаконными нормативными актами, регулирующими отношения, связанные с обработкой персональных данных.
1.2. Политика действует в отношении всех персональных данных, которые Оператор получает от субъектов персональных данных — пользователей сайтов, клиентов, контрагентов, соискателей и иных лиц, чьи данные обрабатываются Оператором в рамках хозяйственной деятельности.
1.3. Использование сайтов, сервисов и форм обратной связи ГК «ВЕНА» означает безусловное согласие субъекта с условиями настоящей Политики. Если субъект не согласен с её условиями, он обязан прекратить использование сайтов и сервисов Оператора.
1.4. Оператор гарантирует, что содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Не допускается обработка данных, не совместимая с целями их сбора.
2. Основные термины
В Политике используются следующие основные понятия:
- Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
- Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с использованием средств автоматизации или без них, с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, использование, передачу, обезличивание, блокирование, удаление, уничтожение.
- Оператор — Группа компаний «ВЕНА», организующая и (или) осуществляющая обработку персональных данных, а также определяющая цели обработки, состав данных и подлежащие совершению операции.
- Субъект персональных данных — физическое лицо, чьи персональные данные обрабатываются Оператором.
- Конфиденциальность персональных данных — обязательное для соблюдения Оператором требование не допускать распространения персональных данных без согласия субъекта или наличия иного законного основания.
- Трансграничная передача — передача персональных данных на территорию иностранного государства органу власти, физическому или юридическому лицу.
3. Состав обрабатываемых данных
3.1. Оператор обрабатывает следующие категории персональных данных субъектов в зависимости от целей и способов взаимодействия:
3.2. Данные, получаемые при использовании сайта
- ФИО (при заполнении форм);
- контактный телефон и адрес электронной почты;
- наименование организации и должность (для корпоративных обращений);
- содержание обращения, комментария, отзыва.
3.3. Данные, получаемые автоматически
- IP-адрес, тип и версия браузера, операционная система;
- источник перехода, страницы посещения, время на сайте;
- файлы cookie и аналогичные технологии (подробнее — в разделе 7).
3.4. Данные клиентов и контрагентов
- ФИО, дата рождения, реквизиты документа, удостоверяющего личность;
- адрес регистрации и фактического проживания;
- ИНН, СНИЛС, номер расчётного счёта (в объёме, необходимом для исполнения договоров и требований законодательства);
- иные данные, предоставленные субъектом добровольно.
3.5. Оператор не обрабатывает специальные категории персональных данных (расовая принадлежность, политические взгляды, состояние здоровья, биометрические данные, сведения о частной жизни), кроме случаев, прямо предусмотренных законом и оформленных отдельным согласием субъекта.
4. Цели и правовые основания обработки
4.1. Оператор осуществляет обработку персональных данных для следующих целей:
| Цель обработки | Правовое основание |
|---|
| Заключение и исполнение договоров с клиентами и контрагентами | п. 5 ч. 1 ст. 6 152-ФЗ |
| Обработка обращений, заявок и запросов, поступающих через сайт | п. 1 ч. 1 ст. 6 152-ФЗ (согласие) |
| Информирование о продуктах, услугах и акциях Оператора | п. 1 ч. 1 ст. 6 152-ФЗ (согласие) |
| Кадровое и бухгалтерское делопроизводство | пп. 2, 5 ч. 1 ст. 6 152-ФЗ |
| Исполнение требований налогового и иного законодательства | п. 2 ч. 1 ст. 6 152-ФЗ |
| Улучшение работы сайта, аналитика пользовательского поведения | п. 1 ч. 1 ст. 6 152-ФЗ (согласие) |
| Обеспечение безопасности информационных систем | п. 7 ч. 1 ст. 6 152-ФЗ |
4.2. Согласие на обработку персональных данных предоставляется путём совершения субъектом конклюдентных действий — заполнения соответствующих форм на сайте, отправки запроса, проставления отметки в чек-боксе, подписания отдельного согласия.
Важно: согласие может быть отозвано субъектом в любой момент путём подачи письменного заявления Оператору в порядке, предусмотренном разделом 8 настоящей Политики.
5. Условия и сроки хранения персональных данных
5.1. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели их обработки, если иной срок хранения не установлен федеральным законом или договором, стороной которого является субъект.
5.2. Сроки хранения персональных данных определяются в соответствии со следующими ориентирами:
- данные, полученные при исполнении договоров, — в течение срока действия договора и 5 лет после его прекращения (ст. 29 ФЗ № 402-ФЗ «О бухгалтерском учёте»);
- данные, обрабатываемые для кадрового учёта, — 50/75 лет в зависимости от категории (Приказ Росархива от 20.12.2019 № 236);
- данные, обрабатываемые на основании согласия, — до момента отзыва согласия или достижения заявленных целей;
- данные, обрабатываемые для исполнения требований налогового законодательства, — 5 лет с даты последнего налогового периода;
- логи серверов, содержащие IP-адреса, — не более 6 месяцев (ч. 5 ст. 9 152-ФЗ).
5.3. По истечении сроков хранения, а также при отзыве согласия субъекта или прекращении иных законных оснований обработки персональные данные уничтожаются в срок, не превышающий 30 рабочих дней, если иное не предусмотрено законодательством.
5.4. Уничтожение производится путём стирания данных с машинных носителей без возможности восстановления, физического уничтожения бумажных носителей или иным способом, исключающим дальнейшую идентификацию субъекта.
6. Передача персональных данных третьим лицам
6.1. Оператор не передаёт персональные данные третьим лицам, кроме случаев, прямо предусмотренных законодательством Российской Федерации, либо при наличии отдельного согласия субъекта.
6.2. Передача допускается следующим категориям получателей:
- государственные органы и должностные лица в случаях, предусмотренных законом (налоговые органы, суды, правоохранительные органы, ПФР, ФСС, Роскомнадзор);
- банки и кредитные организации — для осуществления расчётов по договорам;
- партнёры и подрядчики Оператора, оказывающие услуги по технической поддержке сайтов, хостингу, рассылке, аналитике, — исключительно в объёме, необходимом для исполнения их обязательств перед Оператором, на основании договора с включением условий о конфиденциальности;
- иные лица — при наличии отдельного письменного согласия субъекта.
6.3. Трансграничная передача персональных данных осуществляется только в государства, обеспечивающие адекватную защиту прав субъектов, либо при наличии согласия субъекта и письменного обязательства получателя о соблюдении конфиденциальности.
6.4. Оператор уведомляет Роскомнадзор о намерении осуществлять трансграничную передачу данных в порядке, установленном приказом Роскомнадзора от 31.12.2021 № 302.
7. Файлы cookie и аналитика
7.1. Сайты ГК «ВЕНА» используют файлы cookie и аналогичные технологии для обеспечения работоспособности, запоминания пользовательских настроек, аналитики посещаемости и улучшения пользовательского опыта.
7.2. Используемые типы cookie:
- Технические — необходимы для корректной работы сайта (авторизация, защита от мошенничества, сохранение предпочтений интерфейса). Не требуют отдельного согласия;
- Аналитические — позволяют анонимно оценивать поведение пользователей (Яндекс Метрика и аналоги). Используются только с согласия субъекта;
- Маркетинговые — применяются для персонализации рекламных материалов. Включаются исключительно при наличии явного согласия.
7.3. Субъект может в любой момент изменить настройки cookie через панель управления на сайте или в настройках браузера, заблокировав или удалив сохранённые cookie. Отключение cookie может повлиять на доступность отдельных функций сайта.
7.4. Данные, собранные аналитическими сервисами, обрабатываются в обезличенной форме и не позволяют идентифицировать конкретного пользователя без использования дополнительной информации.
8. Права субъекта персональных данных
8.1. Субъект персональных данных имеет право:
- получать информацию об обработке своих данных, включая сведения о правовых основаниях, целях, способах, сроках и источниках получения;
- требовать уточнения (обновления, исправления) своих данных, если они являются неполными, устаревшими или недостоверными;
- требовать прекращения обработки и удаления своих данных в случаях, предусмотренных ст. 21 152-ФЗ;
- отозвать согласие на обработку персональных данных;
- обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;
- реализовывать иные права, предусмотренные законодательством Российской Федерации.
8.2. Для реализации своих прав субъект направляет Оператору письменное заявление с указанием ФИО, контактных данных, существа требования и удостоверяет свою личность в соответствии с ч. 3 ст. 20 152-ФЗ (лично, по почте заказным письмом или в форме электронного документа, подписанного электронной подписью).
8.3. Оператор рассматривает обращения субъекта в срок, не превышающий 10 рабочих дней с даты получения запроса. При необходимости проверки данных срок может быть продлён до 30 рабочих дней с уведомлением субъекта.
9. Меры защиты информации
9.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.
9.2. Применяемые меры защиты включают:
- назначение ответственного за организацию обработки персональных данных;
- ограничение доступа к данным на основе принципа минимальных привилегий;
- шифрование каналов передачи данных (TLS 1.2+);
- хранение паролей с использованием криптографических хеш-функций;
- регулярное резервное копирование и тестирование восстановления;
- антивирусную защиту, межсетевое экранирование, систему обнаружения вторжений;
- ведение журналов аудита действий с персональными данными;
- оценку угроз безопасности и регулярное обновление политик безопасности;
- проведение внутренних проверок и обучение сотрудников правилам работы с персональными данными.
9.3. Доступ к персональным данным предоставляется только тем сотрудникам Оператора, которым он необходим для выполнения должностных обязанностей. Все сотрудники, имеющие доступ, подписывают обязательство о неразглашении.
9.4. В случае инцидента, связанного с утечкой персональных данных, Оператор уведомляет Роскомнадзор и пострадавших субъектов в сроки, установленные ч. 1 ст. 21.1 152-ФЗ, и принимает меры по минимизации последствий.
10. Заключительные положения
10.1. Настоящая Политика вступает в силу с момента её публикации на официальных сайтах ГК «ВЕНА» и действует до замены её новой редакцией.
10.2. Оператор оставляет за собой право вносить изменения в Политику. Новая редакция Политики вступает в силу с момента её размещения в соответствующем разделе сайта, если иное не указано в тексте новой редакции.
10.3. Все предложения, вопросы и запросы, связанные с обработкой персональных данных, субъект может направить по контактным данным Оператора, указанным ниже.
