ПОЛИТИКА ООО «АНАЭЛЬ»
В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Раздел 1. Общие положения
1.1. Назначение документа. Настоящая Политика определяет порядок и условия обработки персональных данных (далее — ПДн) в ООО «Анаэль» (далее — Оператор), а также меры по обеспечению их безопасности. Политика разработана во исполнение требований ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и является общедоступным документом.
1.2. Область применения. Политика распространяется на все процессы обработки ПДн, осуществляемые Оператором, включая обработку данных, собираемых через сайт Оператора qi-energy.ru — платформу информационных услуг по организации лечения и оздоровления на территории Китая. Оператор не осуществляет медицинскую деятельность, не оказывает медицинских услуг и не занимается медицинским туризмом; его деятельность носит исключительно информационно-консультационный характер.
1.3. Нормативная база. Обработка ПДн осуществляется в соответствии с:
- Конституцией РФ;
- Трудовым кодексом РФ;
- Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
- Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
- Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» (далее — ПП-1119);
- Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
- Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации» (далее — ПП-687);
- иными нормативными правовыми актами РФ.
1.4. Основные термины. В Политике используются термины в значениях, определённых ст. 3 152-ФЗ: персональные данные, оператор, обработка персональных данных, субъект персональных данных, информационная система персональных данных (ИСПДн), обезличивание, блокирование, уничтожение.
1.5. Реквизиты Оператора. ООО «Анаэль», ОГРН 1197847234067, ИНН 7806567285, КПП 780201001, ОКПО 42387208, ОКАТО 40298000000, ОКТМО 40911000000, ОКФС 16 (частная собственность), ОКОГУ 4210014, ОКОПФ 12300 (общество с ограниченной ответственностью). Генеральный директор — Журавская К.А. Юридический и почтовый адрес: 197198, г. Санкт-Петербург, ул. Грибалевой, д. 7, корп. 1, кв. 189. E-mail для обращений субъектов ПДн: info@qi-energy.ru.
1.6. Ответственный за организацию обработки ПДн. Ответственный назначается приказом Генерального директора. Ответственный: генеральный директор ООО «Анаэль» Журавская Кира Анатольевна, e-mail: info@qi-energy.ru, телефон: +7 812 972-07-77.
Раздел 2. Принципы обработки персональных данных
Обработка ПДн осуществляется на основе принципов, установленных ст. 5 152-ФЗ:
- Законность и справедливость: обработка допускается только при наличии законного основания.
- Ограничение целями: ПДн не обрабатываются для целей, несовместимых с целями сбора.
- Соответствие объёма: состав и объём данных соответствуют заявленным целям; избыточные данные не собираются.
- Точность: Оператор принимает меры по обеспечению актуальности и достоверности ПДн, их уточнению.
- Ограничение хранения: ПДн хранятся не дольше, чем требуется для достижения целей обработки, если иной срок не установлен законом или договором.
Раздел 3. Цели обработки персональных данных
Оператор обрабатывает ПДн исключительно для следующих конкретных целей:
| № | Цель обработки | Категории субъектов |
|---|---|---|
| 1 | Оказание информационных услуг, обработка заявок и обращений | Клиенты (пользователи сайта, обратившиеся лица) |
| 2 | Регистрация и ведение личного кабинета пользователя на Сайте | Пользователи личного кабинета |
| 3 | Заключение и исполнение гражданско-правовых договоров на оказание информационных услуг | Клиенты, контрагенты |
| 4 | Направление информационных и рекламных сообщений об информационных услугах (только при наличии отдельного согласия) | Клиенты, подписчики |
| 5 | Обеспечение функционирования и безопасности сайта, анализ посещаемости (cookies, технические данные) | Посетители сайта |
| 6 | Кадровое делопроизводство и соблюдение трудового законодательства в отношении собственных сотрудников Оператора | Работники, соискатели |
| 7 | Ведение бухгалтерского и налогового учёта, исполнение обязанностей перед государственными органами | Работники, контрагенты, клиенты (в объёме, требуемом законом) |
Цели обработки не могут быть расширены без соответствующего изменения настоящей Политики.
Раздел 4. Правовые основания обработки персональных данных
Обработка ПДн осуществляется на основаниях, предусмотренных ст. 6 152-ФЗ, применительно к каждой цели:
| Цель | Правовое основание |
|---|---|
| Оказание информационных услуг, обработка заявок с сайта | Согласие субъекта ПДн (п. 1 ч. 1 ст. 6 152-ФЗ), выраженное путём проставления самостоятельного чекбокса в форме; при заключении договора — необходимость исполнения договора (п. 5 ч. 1 ст. 6 152-ФЗ) |
| Регистрация и ведение личного кабинета пользователя на Сайте | Согласие субъекта ПДн (п. 1 ч. 1 ст. 6 152-ФЗ); исполнение Пользовательского соглашения, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ) |
| Заключение и исполнение договора | Необходимость исполнения договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 152-ФЗ) |
| Маркетинговые рассылки | Отдельное согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ); согласие на маркетинг не объединяется с согласием на обработку в иных целях |
| Безопасность сайта, необходимые cookies | Законный интерес Оператора в обеспечении работоспособности и безопасности сайта (п. 7 ч. 1 ст. 6 152-ФЗ) |
| Аналитические и маркетинговые cookies | Согласие субъекта (п. 1 ч. 1 ст. 6 152-ФЗ), получаемое через cookie-баннер |
| Кадровый учёт, бухгалтерия, налоги | Требование закона (п. 2 ч. 1 ст. 6 152-ФЗ), исполнение договора (п. 5 ч. 1 ст. 6 152-ФЗ) |
Раздел 5. Категории субъектов и состав обрабатываемых персональных данных
Оператор обрабатывает ПДн следующих категорий субъектов. Перечень данных является исчерпывающим для каждой категории.
| Категория субъектов | Состав обрабатываемых ПДн |
|---|---|
| Клиенты | Имя; номер телефона и (или) адрес электронной почты |
| Пользователи личного кабинета | Фамилия; имя; номер телефона; адрес электронной почты; пароль (хранится в зашифрованном виде) |
| Посетители сайта (технические данные) | IP-адрес; данные cookie; сведения о браузере (User-Agent); дата и время обращения к сайту |
| Собственные сотрудники Оператора | Данные, предусмотренные трудовым законодательством (ФИО, паспортные данные, ИНН, СНИЛС, адрес, телефон, сведения об образовании, должности, доходах и т.п.) |
| Соискатели | ФИО, телефон, e-mail, сведения из резюме, предоставленные добровольно |
| Контрагенты (представители) | ФИО, должность, телефон, e-mail, реквизиты организации |
Оператор не собирает через сайт паспортные данные, СНИЛС, ИНН, сведения о состоянии здоровья, биометрические данные, данные о судимости, расовой или национальной принадлежности.
Раздел 6. Специальные категории персональных данных и биометрические данные
6.1. Оператор не осуществляет целенаправленный сбор специальных категорий ПДн (расовая, национальная принадлежность, политические взгляды, религиозные убеждения, состояние здоровья, интимная жизнь, судимость) и не обрабатывает биометрические данные (ст. 10, 11 152-ФЗ).
6.2. Форма обращения на сайте не предусматривает сообщения сведений о здоровье. Если субъект по собственной инициативе сообщит такие сведения, Оператор их не использует и уничтожает, если для их обработки отсутствует основание, предусмотренное ст. 10 152-ФЗ.
Раздел 7. Порядок и условия обработки персональных данных
7.1. Способы обработки: смешанная обработка (с использованием средств автоматизации и без их использования).
7.2. Действия с ПДн: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
7.3. Локализация. В соответствии с ч. 5 ст. 18 152-ФЗ первичный сбор, запись, систематизация, накопление, хранение, уточнение и извлечение ПДн граждан РФ осуществляются с использованием баз данных, находящихся на серверах, физически расположенных на территории Российской Федерации. Сайт и база данных Оператора размещены на собственном сервере ООО «Анаэль», физически расположенном на территории РФ (резервные копии хранятся на том же сервере); Оператор обеспечивает, чтобы технические средства сбора данных не направляли первичный трафик за пределы РФ до записи в российскую базу.
7.4. Согласие на обработку. Согласие на обработку ПДн предоставляется субъектом:
- при заполнении форм на сайте — путём проставления самостоятельной (не предустановленной) отметки (чекбокса) в пустом поле, относящейся к конкретной цели обработки;
- при заключении договора — отдельным документом;
- для маркетинговых целей — отдельным чекбоксом, не объединённым с согласием на обработку в иных целях.
Субъект вправе отозвать согласие в любое время путём направления обращения Оператору (Раздел 10).
7.5. Обработка без использования средств автоматизации осуществляется в соответствии с ПП-687: ПДн обособляются, не смешиваются с иными сведениями, при необходимости титулуются, хранятся в условиях, исключающих несанкционированный доступ.
7.6. Уведомление об утечке. В случае обнаружения факта неправомерной или случайной передачи (доступа, уничтожения, изменения, блокирования) ПДн Оператор в течение 24 часов направляет первичное уведомление в Роскомнадзор, а в течение 72 часов — дополнительное уведомление с результатами внутреннего расследования.
Раздел 8. Передача персональных данных третьим лицам
8.1. Оператор передаёт ПДн третьим лицам только при наличии законного основания и в объёме, необходимом для достижения целей обработки.
8.2. Категории получателей:
- VK WorkSpace (ООО «ВК») — для размещения корпоративной почты; цель: переписка по обращениям; основание: договор, поручение обработки (ч. 3 ст. 6 152-ФЗ).
- Яндекс Метрика (ООО «Яндекс») — для анализа посещаемости сайта; цель: веб-аналитика; основание: согласие субъекта (cookie-баннер), поручение обработки (ч. 3 ст. 6 152-ФЗ).
- Государственные органы (налоговые, правоохранительные, суды) — в случаях и порядке, установленных законом; основание: требование закона.
8.3. Персональные данные иностранным получателям, в том числе в КНР, не передаются.
8.4. Требования к договорам поручения. Всем обработчикам, действующим по поручению Оператора, в договоре устанавливаются: перечень действий с ПДн, цели обработки, обязанность соблюдать конфиденциальность и принимать меры защиты, запрет на передачу ПДн иным лицам без согласия Оператора, условия уничтожения ПДн по достижении цели. Отсутствие такого условия делает передачу незаконной.
8.5. Оператор не продаёт ПДн и не передаёт их третьим лицам для целей, не связанных с оказанием информационных услуг, за исключением случаев, прямо предусмотренных законом или отдельным согласием субъекта.
Раздел 9. Отсутствие трансграничной передачи персональных данных
9.1. Трансграничная передача ПДн Оператором не осуществляется. Сайт, база данных, резервные копии и корпоративная почта размещены на серверах, физически расположенных на территории РФ.
9.2. Если в будущем потребуется передача ПДн иностранному получателю, Оператор до начала такой передачи:
- получит отдельное письменное согласие субъектов на трансграничную передачу;
- направит в Роскомнадзор уведомление о намерении осуществлять трансграничную передачу (ч. 3 ст. 12 152-ФЗ);
- отразит изменения в настоящей Политике.
9.3. Ответственность за действия иностранного получателя, если ему будет поручена обработка ПДн, Оператор несёт перед субъектом наравне с получателем (ч. 6 ст. 6 152-ФЗ).
Раздел 10. Права субъекта персональных данных
Субъект ПДн имеет права, предусмотренные ст. 14–17 152-ФЗ:
- Право на доступ к своим ПДн и информации об их обработке (ст. 14).
- Право на уточнение (обновление, изменение) ПДн в случае их неполноты, неточности или неактуальности (ст. 14).
- Право на блокирование ПДн при наличии оснований (ст. 14).
- Право на удаление (уничтожение) ПДн, если они обрабатываются незаконно или цель обработки достигнута (ст. 14, 21).
- Право на отзыв согласия на обработку ПДн в любое время (ст. 9).
- Право на возражение против обработки ПДн в целях продвижения товаров, работ, услуг (ст. 15).
- Право на обжалование действий или бездействия Оператора в Роскомнадзоре или в суде (ст. 17).
Порядок реализации: субъект направляет письменное обращение на e-mail info@qi-energy.ru или почтовый адрес Оператора: 197198, г. Санкт-Петербург, ул. Грибалевой, д. 7, корп. 1, кв. 189. Оператор рассматривает обращение в срок, не превышающий 10 рабочих дней с даты получения (ст. 20 152-ФЗ), и предоставляет мотивированный ответ. Оператор ведёт журнал обращений субъектов ПДн с отметками о сроках и результатах рассмотрения.
Раздел 11. Меры по обеспечению безопасности персональных данных
11.1. Организационные меры:
- назначение ответственного за организацию обработки ПДн;
- издание локальных актов по вопросам обработки ПДн (настоящая Политика, приказы, инструкции);
- ознакомление работников с требованиями 152-ФЗ и локальными актами под роспись;
- определение перечня ИСПДн и уровней защищённости в соответствии с ПП-1119;
- учёт носителей ПДн и контроль доступа к ним;
- внутренний контроль и аудит соблюдения требований.
11.2. Технические меры (в соответствии с Приказом ФСТЭК № 21 и ПП-1119):
- идентификация и аутентификация пользователей ИСПДн;
- управление доступом (разграничение прав);
- регистрация событий безопасности;
- антивирусная защита;
- защита каналов передачи данных (при передаче через интернет — шифрование);
- резервное копирование и восстановление;
- защита от несанкционированного доступа к серверу и базе данных;
- контроль защищённости.
11.3. Уровень защищённости. ИСПДн Оператора, обрабатывающая ПДн клиентов и посетителей сайта, относится к 4 уровню защищённости (УЗ-4) в соответствии с ПП-1119, поскольку обрабатываются иные категории ПДн, не являющиеся специальными или биометрическими, и не требуется иных повышенных мер. Для кадровых данных устанавливается уровень в соответствии с результатами классификации; при необходимости — УЗ-3 или выше. Перечень ИСПДн с указанием уровня защищённости утверждается приказом.
Раздел 12. Сроки обработки и порядок уничтожения персональных данных
12.1. Сроки хранения:
| Категория ПДн / цель | Срок хранения |
|---|---|
| Данные клиентов (информационные услуги, заявки) | До достижения цели обработки, но не более 6 месяцев с момента последнего взаимодействия, если иное не предусмотрено договором. При отзыве согласия — уничтожаются в течение 30 дней, если нет иного законного основания |
| Данные пользователей личного кабинета | До удаления личного кабинета или отзыва согласия; после этого — уничтожение в течение 30 дней, если нет иного законного основания |
| Технические данные сайта (IP, cookies, User-Agent) | Не более 1 года с момента сбора, если иной срок не установлен настройками аналитических сервисов (с учётом согласия) |
| Данные работников | В соответствии с трудовым законодательством и номенклатурой дел (как правило, 75 лет для отдельных документов, но не менее сроков, установленных законом) |
| Данные соискателей | 30 дней с момента принятия решения об отказе, если соискатель не дал согласия на более длительное хранение |
| Бухгалтерские и налоговые данные | В соответствии с законодательством (5 лет и более) |
12.2. Уничтожение ПДн производится:
- при достижении цели обработки;
- при отзыве согласия субъектом (если отсутствует иное законное основание);
- при выявлении неправомерной обработки;
- по требованию субъекта об удалении.
Уничтожение осуществляется путём стирания данных из информационных систем, уничтожения материальных носителей (шредирование, сжигание) с составлением акта об уничтожении, в котором указываются: дата, перечень уничтоженных данных, способ уничтожения, ответственное лицо. Акт хранится не менее 3 лет.
Раздел 13. Особенности обработки персональных данных на сайте
Настоящий раздел является неотъемлемой частью Политики и подлежит размещению на сайте Оператора в открытом доступе (ч. 2 ст. 18.1 152-ФЗ).
13.1. Перечень данных, собираемых через сайт:
- из форм обратной связи и заявок: имя, телефон и (или) e-mail;
- при регистрации личного кабинета: фамилия, имя, телефон, e-mail, пароль (в зашифрованном виде);
- автоматически: IP-адрес, cookies, User-Agent, дата/время посещения.
13.2. Cookies и аналитика. Сайт использует:
- необходимые cookies — для обеспечения работы сайта (не требуют согласия, основание — законный интерес);
- аналитические cookies (Яндекс Метрика) — только после получения согласия пользователя через cookie-баннер при первом посещении. Баннер содержит краткую информацию и возможность принять или отклонить отдельные категории cookies.
13.3. Согласие в формах. Каждая форма сбора ПДн содержит:
- пустой чекбокс, который пользователь проставляет самостоятельно;
- ссылку на настоящую Политику;
- отдельный чекбокс для согласия на маркетинговые рассылки (необязательный, не предустановленный).
13.4. Третьи стороны, участвующие в обработке данных на сайте:
- сервис корпоративной почты: VK WorkSpace (ООО «ВК»), цель — переписка по обращениям, основание — договор поручения;
- сервис аналитики: Яндекс Метрика (ООО «Яндекс»), цель — анализ посещаемости, основание — согласие (cookie-баннер);
13.5. Размещение Политики. Политика доступна по постоянной ссылке в подвале сайта, а также по ссылке под каждой формой сбора ПДн. Документ публикуется в формате HTML, доступен без авторизации.
13.6. Контактные данные для обращений субъектов ПДн:
- e-mail: info@qi-energy.ru; телефон: +7 812 972-07-77;
- почтовый адрес: 197198, г. Санкт-Петербург, ул. Грибалевой, д. 7, корп. 1, кв. 189 (совпадает с юридическим адресом Оператора).
Раздел 14. Заключительные положения
14.1. Настоящая Политика подлежит пересмотру и обновлению:
- при изменении законодательства РФ о персональных данных;
- при изменении целей, состава обрабатываемых данных или перечня третьих лиц;
- по результатам внутренних проверок, но не реже одного раза в год.
14.2. Ответственный за организацию обработки ПДн обеспечивает актуализацию Политики и контроль её исполнения.
14.3. Политика публикуется на сайте Оператора и вступает в силу с даты утверждения приказом Генерального директора. Лица, виновные в нарушении требований настоящей Политики, несут ответственность в соответствии с законодательством РФ, включая административную ответственность по ст. 13.11 КоАП РФ.
14.4. Оператор обеспечивает уведомление Роскомнадзора о начале обработки ПДн до её начала (ст. 22 152-ФЗ) и поддерживает сведения в реестре операторов в актуальном состоянии. Настоящая Политика не заменяет уведомление, а дополняет его.