Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) составлена во исполнение требований Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных) и определяет порядок и условия обработки персональных данных, меры по обеспечению их безопасности, а также права субъектов персональных данных.

1.2. Политика действует в отношении всех персональных данных, которые ООО «ЧЕКЭДВАЙЗОР» (далее — Оператор) получает от пользователей сайта по адресу https://v3.checkadvisor.ru и его страниц (далее — Сайт).

1.3. Политика разработана с учётом Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», иных нормативных правовых актов Российской Федерации и требований уполномоченного органа по защите прав субъектов персональных данных.

1.4. В соответствии с частью 2 статьи 18.1 Закона о персональных данных Политика опубликована на Сайте и доступна неограниченному кругу лиц без регистрации.

1.5. Политика носит информационный характер и не является согласием на обработку персональных данных. Согласие оформляется отдельным документом — Согласием на обработку персональных данных — и даётся пользователем самостоятельным действием (отметкой в форме) перед отправкой запроса.

2. Сведения об операторе

3. Основные понятия

В Политике используются понятия в значении, определённом статьёй 3 Закона о персональных данных. В частности:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• оператор — лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки;
• обработка персональных данных — любое действие (операция) или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них;
• блокирование — временное прекращение обработки (за исключением случаев, когда обработка необходима для уточнения данных);
• уничтожение — действия, в результате которых становится невозможным восстановить содержание персональных данных;
• пользователь — любое лицо, посещающее Сайт или направляющее запрос через формы Сайта.

4. Принципы обработки персональных данных

Обработка осуществляется на основе принципов, установленных статьёй 5 Закона о персональных данных:

• законность и справедливость обработки;
• ограничение обработки достижением конкретных, заранее определённых и законных целей;
• недопустимость объединения баз данных, содержащих персональные данные, обработка которых осуществляется в несовместимых между собой целях;
• обработка только тех данных, которые отвечают целям обработки, и недопустимость избыточности;
• обеспечение точности, достаточности и актуальности данных;
• хранение в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки;
• уничтожение либо обезличивание данных по достижении целей обработки или при утрате необходимости в их достижении.

5. Цели обработки, категории данных, правовые основания и сроки хранения

5.1. Оператор обрабатывает персональные данные только в целях, указанных в таблице, в объёме, необходимом для их достижения.

5.2. Интерактивная демонстрация. Блок «Попробуйте движок подбора» работает на готовом условном примере и не принимает данные пользователя. Выбранные настройки (веса, наценка и т. п.) обрабатываются только в браузере пользователя, не передаются Оператору и не сохраняются на сервере. Факт запуска демо и число строк примера прикладываются к запросу только после согласия пользователя (цель 2).

5.3. Определение местоположения по IP-адресу. Страна, регион, город, оператор связи и часовой пояс определяются автоматически по локальным базам данных на сервере Оператора. IP-адрес пользователя не передаётся внешним сервисам геолокации. Точность определения приблизительная (на уровне города или региона), улица и дом не определяются; при использовании VPN, прокси или мобильной сети результат может не совпадать с реальным местоположением. Данные об IP-адресе и местоположении сохраняются вместе с запросом и передаются в уведомлении уполномоченным лицам Оператора. Используются базы GeoLite2 (MaxMind, www.maxmind.com) и IP-to-ASN (RouteViews, DB-IP, лицензия CC BY 4.0).

5.4. Оператор не обрабатывает данные для целей, не указанных в таблице. Обработка в новых целях возможна только после обновления Политики и, при необходимости, получения нового согласия.

6. Субъекты и категории обрабатываемых данных

6.1. Субъекты персональных данных: пользователи Сайта; лица, направившие запрос через форму (в том числе представители юридических лиц, действующие от имени организаций).

6.2. Оператор обрабатывает только категорию «иные персональные данные», перечисленные в разделе 5. Специальные категории персональных данных (расовая и национальная принадлежность, политические, религиозные и философские убеждения, состояние здоровья, интимная жизнь) и биометрические персональные данные не обрабатываются.

6.3. Сайт предназначен для делового использования и не ориентирован на лиц, не достигших 18 лет. Оператор сознательно не собирает данные несовершеннолетних.

6.4. Пользователь обязан указывать достоверные данные и не вправе вносить в форму персональные данные третьих лиц без их согласия.

7. Порядок и условия обработки

7.1. Способ обработки: смешанная — с использованием средств автоматизации и без них.

7.2. Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, блокирование, удаление, уничтожение. Распространение, обезличивание в иных целях, а также передача (предоставление, доступ) неограниченному кругу лиц не осуществляются.

7.3. Основание обработки. Обработка данных, переданных через форму, осуществляется на основании согласия пользователя, которое оформляется отдельным документом (текст согласия) и подтверждается отметкой в форме перед отправкой запроса. Согласие может быть отозвано в любой момент (раздел 10).

7.4. Место хранения (локализация). Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 Закона о персональных данных). Сервер, на котором размещены Сайт и данные запросов, расположен в г. Москве.

7.5. Трансграничная передача персональных данных на территорию иностранных государств не осуществляется. Если такая передача станет необходимой, Оператор до её начала выполнит требования статьи 12 Закона о персональных данных, включая уведомление уполномоченного органа, и обновит Политику.

7.6. Доступ. К данным имеют доступ только работники и уполномоченные лица Оператора (руководители), которым он необходим для обработки запросов, при условии соблюдения конфиденциальности.

7.6.1. Уведомления о запросах. Каждый поступивший запрос автоматически направляется по электронной почте на рабочие адреса уполномоченных лиц Оператора. Письма отправляются через почтовый сервер, используемый Оператором, по защищённому соединению (STARTTLS). Почтовые ящики получателей могут размещаться у поставщиков почтовых услуг; такие поставщики не определяют цели обработки и обязаны обеспечивать конфиденциальность в рамках условий своих сервисов. Получатели обязаны использовать данные только для рассмотрения запроса и не раскрывать их третьим лицам.

7.7. Передача третьим лицам. Оператор не продаёт персональные данные и не передаёт их третьим лицам в маркетинговых целях. Допускается:

• поручение обработки (ч. 3 ст. 6 Закона о персональных данных) на основании договора поставщикам инфраструктуры, необходимой для работы Сайта и обработки запросов (облачная инфраструктура, хостинг, а при включении уведомлений — почтовый сервис). Такие лица обязаны соблюдать принципы и правила обработки, конфиденциальность и меры безопасности, установленные Законом о персональных данных;
• предоставление данных государственным органам в случаях, установленных федеральным законом.

7.8. Автоматизированные решения. Решения, порождающие юридические последствия для субъекта или иным образом затрагивающие его права, исключительно на основании автоматизированной обработки не принимаются (ст. 16 Закона о персональных данных).

7.9. Прекращение обработки осуществляется при достижении целей обработки, истечении срока, отзыве согласия, выявлении неправомерной обработки, а также в иных случаях, предусмотренных законом.

8. Cookies и локальное хранилище браузера

8.1. На дату редакции Политики Сайт не устанавливает cookies и не использует сторонние сервисы веб-аналитики, рекламные сети и пиксели отслеживания.

8.2. Сайт использует sessionStorage браузера, чтобы запомнить метки источника перехода (UTM) на время работы вкладки. Эти данные не содержат идентификаторов пользователя, не передаются автоматически и удаляются браузером при закрытии вкладки. Они отправляются Оператору только вместе с формой запроса и только после согласия пользователя.

8.3. Если Оператор подключит сервисы веб-аналитики (например, Яндекс Метрику), он предварительно актуализирует Политику, укажет состав собираемых данных и, при необходимости, получит согласие пользователя.

8.4. Пользователь может ограничить или отключить хранилище браузера в его настройках; это не влияет на основные функции Сайта.

9. Меры по обеспечению безопасности персональных данных

9.1. Оператор принимает правовые, организационные и технические меры, необходимые для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения (ст. 18.1 и 19 Закона о персональных данных). В частности:

• шифрование передачи данных между браузером и Сайтом по протоколу HTTPS (TLS) с принудительным применением (HSTS);
• хранение запросов в отдельном каталоге с ограниченными правами доступа; запуск сервиса Сайта от отдельной учётной записи без права входа в систему и с ограничением доступа к ресурсам сервера;
• доступ к списку запросов только по паролю с ограничением числа попыток; сетевой экран с закрытием всех портов, кроме необходимых; защита от подбора учётных данных;
• защита форм от спама и автоматических отправок: арифметическая проверка на нашем сервере (без сторонних сервисов и без передачи данных третьим лицам), ограничение частоты обращений, ограничение числа заявок с одного адреса, отсев явного спама, проверка входящих данных;
• минимизация данных: журнал приложения не содержит IP-адресов и содержимого форм; в запросах сохраняются только необходимые поля;
• своевременное обновление программного обеспечения сервера;
• определение порядка реагирования на инциденты, повлёкшие неправомерную передачу (предоставление, распространение, доступ) персональных данных.

9.2. О выявленном инциденте Оператор уведомляет уполномоченный орган по защите прав субъектов персональных данных в сроки, установленные частью 3.1 статьи 21 Закона о персональных данных: в течение 24 часов — о произошедшем инциденте, в течение 72 часов — о результатах внутреннего расследования.

10. Права субъекта персональных данных и порядок их реализации

10.1. Субъект персональных данных вправе (ст. 14, 15, 16, 17, 21 Закона о персональных данных):

• получить подтверждение факта обработки его данных Оператором, сведения о целях, способах, сроках обработки и о лицах, имеющих доступ к данным;
• получить доступ к своим персональным данным и ознакомиться с ними;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, получены незаконно или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку и потребовать прекратить обработку;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор, rkn.gov.ru) или в суд;
• на защиту своих прав и законных интересов, включая возмещение убытков и компенсацию морального вреда в судебном порядке.

10.2. Как обратиться. Направьте запрос на info@checkadvisor.ru или по адресу Оператора (раздел 2). Для защиты от злоупотреблений запрос должен позволять идентифицировать субъекта: укажите фамилию и имя, адрес электронной почты, который вы использовали в форме, дату обращения на Сайт и суть требования. Запрос в бумажной форме должен быть подписан, электронный — подписан электронной подписью либо отправлен с адреса, указанного в форме. Оператор вправе запросить дополнительные сведения, если без них невозможно подтвердить, что запрос исходит от субъекта.

10.3. Сроки ответов (с даты получения запроса):

10.4. Отзыв согласия не влияет на законность обработки, осуществлённой до отзыва. После отзыва Оператор вправе продолжить обработку без согласия только в случаях, прямо предусмотренных законом.

10.5. Оператор вправе отказать в выполнении запроса мотивированно в случаях, предусмотренных частью 8 статьи 14 Закона о персональных данных.

11. Обязанности оператора

Оператор обязан в том числе:

• обрабатывать данные только на законных основаниях и в заявленных целях;
• получать согласие субъекта до начала обработки в предусмотренных законом случаях и хранить подтверждение его получения;
• предоставлять субъекту информацию об обработке по его запросу (ст. 14, 20) и отвечать на обращения в установленные сроки;
• принимать меры по защите персональных данных (раздел 9) и уведомлять о выявленных инцидентах;
• обеспечивать запись, хранение и иные действия с данными граждан Российской Федерации в базах данных на территории Российской Федерации;
• прекращать обработку и уничтожать данные в случаях и сроки, предусмотренные законом (разделы 10 и 12);
• опубликовать Политику и обеспечить неограниченный доступ к ней.

12. Хранение и уничтожение персональных данных

12.1. Запросы пользователей хранятся в электронном виде в защищённом хранилище на сервере Оператора в течение сроков, указанных в разделе 5.

12.2. По достижении цели обработки, истечении срока хранения, отзыве согласия или выявлении неправомерной обработки записи удаляются из хранилища, а также из резервных копий и рабочих копий данных (в том числе из выгрузок, переданных работникам) в сроки, установленные разделом 10.

12.3. Уничтожение подтверждается документально в соответствии с требованиями уполномоченного органа к подтверждению уничтожения персональных данных (приказ Роскомнадзора от 28.10.2022 № 179). По запросу субъекта ему сообщается об уничтожении его данных.

12.4. Журналы веб-сервера уничтожаются автоматически по истечении 14 дней.

13. Ссылки на сторонние ресурсы

Сайт может содержать ссылки на другие сайты, в том числе на основной сайт платформы checkadvisor.ru. Оператор не отвечает за содержание и политики обработки данных сторонних ресурсов. На таких ресурсах действуют их собственные правила.

14. Изменение Политики

14.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией. Дата и номер действующей редакции указаны в начале документа.

14.2. Если изменения расширяют цели или состав обрабатываемых данных, Оператор до начала такой обработки получает новое согласие в порядке, установленном законом.

14.3. Предыдущие редакции Политики предоставляются по запросу на адрес, указанный в разделе 2.

15. Контакты и применимое право

15.1. По вопросам обработки персональных данных, реализации прав субъектов и отзыва согласия: info@checkadvisor.ru, +7 905 787-27-77; почтовый адрес: 117638, г. Москва, ул. Одесская, д. 2, помещ. 1/10.

15.2. К Политике и отношениям по обработке персональных данных применяется право Российской Федерации. Споры разрешаются в порядке, установленном законодательством Российской Федерации.

Документ связан с Согласием на обработку персональных данных.