ПОЛИТИКА в отношении обработки персональных данных
На сайте 22k-store.ru
ИП Калашникова Александра Сергеевна

1. ОБЩИЕ ПОЛОЖЕНИЯ
1.1. Настоящая Политика разработана во исполнение требований п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».
1.2. Оператор ИП Калашникова Александра Сергеевна
] (далее — Оператор) ставит важнейшей целью соблюдение прав и свобод человека при обработке его персональных данных (далее — ПДн).
1.3. Данный документ является общедоступным и подлежит обязательному опубликованию на сайте Оператора. [1, 2, 3, 4, 5]

2. Перечень обрабатываемых ПДн
Оператор обрабатывает персональные данные следующих категорий субъектов:
  • Работники и бывшие работники оператора.
  • Клиенты и контрагенты (физические лица).
  • Пользователи сайта и сервисов оператора.
  • Состав данных: фамилия, имя, отчество, контактный телефон, адрес электронной почты, паспортные данные (при необходимости для заключения договора).

3. ПРАВОВЫЕ ОСНОВАНИЯ И ЦЕЛИ ОБРАБОТКИ ПДН
3.1. Оператор обрабатывает ПДн на основании: Конституции РФ, Трудового и Гражданского кодексов РФ, согласий субъектов на обработку и распространение ПДн.
3.2. Обработка ПДн ограничивается конкретными, заранее определенными целями. Каждой цели соответствует свой объем собираемых данных: [1, 2, 3]
  • Цель 1: Заключение и исполнение трудовых договоров. (Данные: ФИО, паспорт, СНИЛС, ИНН, трудовая книжка).
  • Цель 2: Заключение и исполнение гражданско-правовых договоров с клиентами. (Данные: ФИО, телефон, email, реквизиты счета).
  • Цель 3: Обеспечение работы веб-сайта Оператора и взаимодействие через формы связи. (Данные: cookies, IP-адрес, имя, телефон). [1, 2]
4. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПДН
4.1. Обработка ПДн осуществляется с использованием средств автоматизации и без них.
4.2. Хранение ПДн осуществляется на серверах, расположенных исключительно на территории Российской Федерации.
4.3. Передача ПДн третьим лицам осуществляется только с письменного согласия субъекта, за исключением случаев, установленных законодательством РФ.
4.4. Уничтожение ПДн производится в срок, не превышающий 30 дней с момента достижения цели обработки или отзыва согласия. [1, 2, 3]

5. Меры защиты персональных данных
(Основание: п. 3 ч. 1 ст. 18.1 и ст. 19 Федерального закона № 152-ФЗ) [1]
Для обеспечения безопасности персональных данных Оператор применяет комплекс правовых, организационных и технических мер: [1]
  • Назначение ответственного лица за организацию обработки и защиту персональных данных в компании.
  • Издание локальных нормативных актов, регламентирующих порядок работы с персональными данными сотрудников и пользователей.
  • Ограничение круга лиц, имеющих доступ к персональным данным, и ведение учета лиц, получивших такой доступ.
  • Применение технических средств защиты (шифрование, межсетевые экраны, антивирусное ПО) для предотвращения несанкционированного доступа.
  • Регулярный внутренний аудит и оценка эффективности принимаемых мер защиты до начала обработки. [1, 2, 3, 4]
5.2. Передача персональных данных третьим лицам
(Основание: ст. 7 и ст. 9 Федерального закона № 152-ФЗ) [1, 2]
Оператор осуществляет передачу персональных данных третьим лицам только при наличии законных оснований: [1]
  • Получение отдельного согласия Субъекта на передачу его данных третьим лицам, оформленного в виде самостоятельного документа. [1, 2]
  • Поручение обработки данных третьему лицу осуществляется на основании договора, в котором фиксируются обязанности по соблюдению конфиденциальности и защите данных. [1]
  • Передача без согласия возможна исключительно в случаях, предусмотренных законодательством РФ (по запросу судов, правоохранительных органов, ФНС и др.). [1, 2]
5.3. Сбор и обработка файлов Cookies
(Основание: ч. 2 ст. 18.1 152-ФЗ в части информирования об автоматизированном сборе данных)
Файлы Cookies и аналогичные технологии веб-аналитики используются для улучшения работы Сайта: [1]
  • Категории собираемых данных: файлы Cookies, сведения об IP-адресе, типе устройства, браузере, дате и времени сессии, источниках перехода.
  • Цель обработки: оптимизация интерфейса сайта, ведение статистики посещаемости, таргетирование рекламных материалов.
  • Управление настройками: Пользователь может в любой момент заблокировать или удалить файлы Cookies через настройки своего браузера, что может ограничить доступ к некоторым функциям Сайта.
5.4. Способ отзыва согласия на обработку
(Основание: ч. 2 ст. 9 Федерального закона № 152-ФЗ) [1, 2]
Субъект персональных данных имеет право отозвать свое согласие в любой момент: [1]
  • Порядок направления отзыва: путем направления письменного заявления по юридическому адресу Оператора либо в форме электронного документа, подписанного электронной подписью, на официальный email. [1, 2]
  • Сроки прекращения обработки: Оператор обязуется прекратить обработку и уничтожить (или обезличить) персональные данные в течение 30 дней с момента получения заявления. [1, 2]
  • Исключения: Оператор вправе продолжить обработку без согласия при наличии иных законных оснований (например, для исполнения действующего договора или требований закона). [1, 2]


6. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ И ПРОЦЕДУРА РЕАГИРОВАНИЯ НА ИНЦИДЕНТЫ (УТЕЧКИ)
6.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПДн от несанкционированного доступа.
6.2. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшего нарушение прав субъектов ПДн (компьютерный инцидент / утечка), Оператор реализует следующую процедуру реагирования: [1, 2, 3, 4]
  • Локализация инцидента: В течение 1 часа с момента обнаружения ответственное лицо блокирует доступ к скомпрометированному сегменту информационной системы, отключает затронутые учетные записи и изолирует серверную базу данных. [1]
  • Первичное уведомление Роскомнадзора: В течение 24 часов Оператор направляет в Роскомнадзор (через электронную форму ведомства) уведомление о произошедшем инциденте. В уведомлении указываются: предполагаемые причины, повлекшие нарушение, предполагаемый вред, а также принятые меры по локализации. [1, 2]
  • Внутреннее расследование: Создается комиссия по расследованию обстоятельств инцидента. Комиссия выявляет виновных лиц, оценивает точный объем скомпрометированных данных и количество пострадавших субъектов. [1]
  • Итоговое уведомление Роскомнадзора: В течение 72 часов с момента обнаружения инцидента Оператор направляет в Роскомнадзор результаты внутреннего расследования с обязательным указанием сведений об обеспечении взаимодействия с ГосСОПКА. [1, 2]
  • Восстановление и аудит: Оператор производит восстановление модифицированных или уничтоженных данных из резервных копий и вносит изменения в модель угроз безопасности для предотвращения повторных инцидентов.

7. Размеры штрафов за утечки по ст. 13.11 КоАП РФ
·       Первичная утечка (в зависимости от объема данных и числа субъектов):
o   От 1 000 до 10 000 записей (или 10k–100k идентификаторов) — от 3 до 5 млн рублей.
o   От 10 000 до 100 000 записей — от 5 до 10 млн рублей.
o   Более 100 000 записей / специальные категории данных — от 10 до 15 млн рублей.
o   Биометрические персональные данные — от 15 до 20 млн рублей. [1, 2]
·       Повторная утечка: Оборотный штраф 1–3% выручки (от 20 до 500 млн рублей). [1, 2]

8. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ
8.1. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, а также на их уточнение, блокирование или уничтожение.
8.2. Оператор обязан предоставить ответ на информационный запрос субъекта ПДн (о факте обработки, перечне ПДн и правовых основаниях) в течение 10 рабочих дней с момента его получения.
8.3. В случае предоставления субъектом ПДн доказательств того, что данные являются неполными, неточными или неактуальными, Оператор обязан внести в них необходимые изменения в срок, не превышающий 7 рабочих дней со дня предоставления таких сведений.
8.4. В случае предоставления субъектом ПДн доказательств того, что данные были получены незаконно или не являются необходимыми для заявленной цели обработки, Оператор обязан уничтожить такие данные в срок, не превышающий 7 рабочих дней со дня предоставления таких сведений.
8.5. О внесенных изменениях или уничтожении персональных данных Оператор обязан уведомить субъекта ПДн в тот же срок (в течение 7 рабочих дней ).

9. ОТВЕТСТВЕННОСТЬ И ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
9.1. Лица, виновные в нарушении требований Федерального закона № 152-ФЗ «О персональных данных», несут гражданскую, уголовную, административную и дисциплинарную ответственность в соответствии с законодательством Российской Федерации.
9.2. Оператор (включая должностных лиц и организацию) несет административную ответственность по ст. 13.11 КоАП РФ за нарушение правил сбора, обработки, локализации баз данных на территории РФ, а также за неуведомление Роскомнадзора об инцидентах (утечках) персональных данных в установленные законом сроки.
9.3. Настоящая Политика подлежит изменению в случае появления новых законодательных актов в сфере защиты ПДн.
9.4. По всем вопросам субъекты могут обращаться по адресу электронной почты: 22k_info@mail.ru