ПОЛИТИКА В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ В ООО «Агрегатор»
ВВЕДЕНИЕ
В рамках ведения своей основной деятельности Общество с ограниченной ответственностью «Агрегатор» осуществляет обработку персональных данных субъектов с использованием информационных систем персональных данных на сайте Aptekiplus.ru, принадлежащем ООО «Агрегатор», который ссылаются на данную Политику.
В соответствии с действующим законодательством Российской Федерации ООО «Агрегатор» при организации и осуществлении обработки персональных данных руководствуется требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним иными нормативными правовыми актами.
Для целей настоящей Политики под персональными данными понимается следующая информация, предоставленная через интернет-сайт Aptekiplus.ru, принадлежащий ООО «Агрегатор» и (или) собранная с использованием указанного интернет-сайта, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу (субъекту персональных данных):
Персональные данные, полученные ООО «Агрегатор», для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных:
Фамилия, Имя, Отчество Пользователя;
Телефон Пользователя;
Электронный адрес Пользователя;
Дата рождения Пользователя;
Пол;
Данные о банковской карте Пользователя;
Контактные данные получателя товара (Фамилия, Имя, отчество и номер телефона);
Для индивидуальных предпринимателей (Фамилия, Имя, Отчество, телефон, электронный адрес, паспортные данные (скан паспорта));
Фотоизображение Пользователя на фотографиях с демонстрацией товара, предоставленных самими Пользователями.
Персональные данные соискателей, размещающие свое резюме на сайте Aptekiplus.ru и в мобильном приложении AptekiPlus и Работников ООО «Агрегатор»:
Фамилия, Имя, Отчество;
Дата рождения;
Гражданство;
Место рождения;
Адрес регистрации и адрес фактического проживания;
Номер телефона (мобильный, домашний);
Серия и номер документа, удостоверяющего личность;
Идентификационный номер налогоплательщика (ИНН);
Номер страхового свидетельства государственного пенсионного страхования;
Серия, номер полиса обязательного медицинского страхования;
Сведения о семейном положении, о составе семьи и близких родственниках;
Сведения об образовании;
Сведения о трудовом стаже и предыдущих местах работы;
Сведения о воинском учете.
ООО «Агрегатор» осуществляет сбор персональных данных субъектов через интернет-ресурс Aptekiplus.ru, которые были введены в поля данных на интернет-сайте Aptekiplus.ru, самими пользователями или иными лицами по их поручению.
ОБЩИЕ ПОЛОЖЕНИЯ
Все обрабатываемые ООО «Агрегатор» персональные данные являются конфиденциальной, строго охраняемой информацией в соответствии с законодательством.
ООО «Агрегатор» использует технологию «cookies». «Cookies» не содержат конфиденциальную информацию и не передаются третьим лицам. А также получает информацию об IP-адресе посетителя веб-сайтов, мобильного приложения, принадлежащих ООО «Агрегатор». Данная информация не используется для установления личности посетителя и не подлежит передаче третьим лицам.
ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
ООО «Агрегатор» собирает, обрабатывает и хранит персональные данные субъекта персональных данных в целях:
Подготовки, заключения и исполнения гражданско-правового договоров по продаже товаров, реализуемых посредством интернет-сайтов и приложений, владельцем которых выступает ООО «Агрегатор».
Соблюдения прав соискателей при размещении резюме на сайте Aptekiplus.ru, принадлежащем ООО «Агрегатор».
Осуществления и исполнения возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей на основании и в соответствии со ст.ст. 23, 24 Конституции Российской Федерации; Федеральным законом «О персональных данных»; Федеральным законом «Об информации, информационных технологиях и о защите информации» и другими требованиями законодательства Российской Федерации в области обработки и защиты персональных данных.
ПОРЯДОК СБОРА, ХРАНЕНИЯ, ПЕРЕДАЧИ И ИНЫХ ВИДОВ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
Сбор персональных данных осуществляется путем заполнения сведений в полях, предусмотренных формами сбора на сайтах и в мобильных приложениях принадлежащих ООО «Агрегатор», а также путем получения персональных данных на сканах документов, полученных от субъекта.
Обработка персональных данных осуществляется с соблюдением принципов и условий, предусмотренных законодательством в области персональных данных и настоящим Положением.
В ООО «Агрегатор» применяется способ автоматизированной обработки персональных данных с передачей полученной информации по информационно-телекоммуникационным сетям или без таковой.
Обработка персональных данных осуществляется исключительно с согласия их субъекта. Формы сбора согласий размещены на сайтах и в мобильных приложениях, владельцем которых является ООО «Агрегатор».
Политика обработки персональных данных, формы согласий на обработку персональных данных, собираемых на сайтах и в приложениях, владельцем которых выступает ООО «Агрегатор», утверждается и размещается на соответствующем сайте (приложении).
Обработка персональных данных, осуществляемая с использованием средств автоматизации, проводится при условии выполнения следующих действий: Оператор проводит технические мероприятия, направленные на предотвращение несанкционированного доступа к персональным данным и (или) передачи их лицам, не имеющим права доступа к такой информации; защитные инструменты настроены на своевременное обнаружение фактов несанкционированного доступа к персональным данным; технические средства автоматизированной обработки персональных данных изолированы в целях недопущения воздействия на них, в результате которого может быть нарушено их функционирование; Оператор производит резервное копирование данных, с тем, чтобы иметь возможность незамедлительного восстановления персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним; осуществляет постоянный контроль за обеспечением уровня защищенности персональных данных.
Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. В поручении оператора должны быть определены перечень персональных данных, перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, цели их обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных, обеспечивать безопасность персональных данных при их обработке, обязанность по запросу оператора персональных данных предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение требований, установленных законом, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 Закона о персональных данных, в том числе требование об уведомлении оператора о случаях установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекших нарушение прав субъектов персональных данных.
Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные уничтожаются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом. Исключение - случаи, когда срок хранения персональных данных установлен федеральным законом, договором, стороной которого (выгодоприобретателем или поручителем по которому) является субъект персональных данных.
В целях соблюдения законодательства Российской Федерации, для достижения целей обработки, а также в интересах и с согласия субъектов персональных данных Оператор в ходе своей деятельности предоставляет персональные данные следующим организациям:
В отношении персональные данных обрабатываемых для целей заключения, исполнения договоров реализации товаров: партнёрам (к примеру, юридическим и физическим лицам, пользующимся торговой площадкой, размещенной на сайте, принадлежащем ООО «Агрегатор» в качестве Продавцов), другим лицам, в частности, курьерским службам, организациям почтовой связи, операторам связи, исключительно в целях выполнения заказа или иного действия/поручения по инициативе Пользователя, оформленного на сайте ООО «Агрегатор» в процессе пользования личным кабинетом, когда без передачи персональных данных Пользователя отсутствует иная техническая возможность осуществить инициированную Пользователем сделку, либо иную операцию, которая представлена для осуществления на выбор и по усмотрению Пользователя, в рамках правоотношений, при которых Пользователь является прямо или косвенно выгодоприобретателем, либо когда правоотношения возникли вследствие того, когда Пользователь являлся выгодоприобретателем, подрядчикам, обеспечивающим работоспособность сайта, для целей корректной работы сайта, устранения технических сбоев. Сотрудники указанных подрядчиков несут ответственность за обеспечение сохранности персональных данных, к которым им был предоставлен доступ.
В отношении персональных данных соискателей, размещающих резюме в форме сбора персональных данных лицам, осуществляющим поиск работников посредством использования сайта Aptekiplus.ru,подрядчикам, обеспечивающим работоспособность сайта, для целей корректной работы сайта, устранения технических сбоев. Сотрудники указанных подрядчиков несут ответственность за обеспечение сохранности персональных данных, к которым им был предоставлен доступ.
В отношении персональных данных работников ООО «Агрегатор» организации, оказывающей услуги по кадровому делопроизводству и бухгалтерскому учету. Сотрудники указанной организации несут ответственность за обеспечение сохранности персональных данных, к которым им был предоставлен доступ.
По требованию субъекта персональных данных ООО «Агрегатор», в срок не позднее 3 (три) рабочих дня предоставляет сведения о перечне лиц, которым были предоставлены их персональные данные.
Трансграничная передача персональных данных не осуществляется.
Уничтожение персональных данных осуществляет комиссия, созданная приказом директора, в срок не позднее 30 (тридцать) календарных дней с момента достижения целей обработки или получения заявления субъекта персональных данных об отзыве согласия на их обработку.
Комиссия составляет список с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путем удаления данных с облачного ресурса Яндекс методами и средствами гарантированного удаления остаточной информации.
Комиссия подтверждает уничтожение персональных данных, указанных в настоящем Положении, согласно Требованиям к подтверждению уничтожения персональных данных, утвержденным Приказом Роскомнадзора от 28.10.2022 N 179, а именно:
актом об уничтожении персональных данных - если данные обрабатываются без использования средств автоматизации;
актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных - если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств.
Акт может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями. Формы акта и выгрузки из журнала с учетом сведений, которые должны содержаться в указанных документах, утверждаются приказом директора.
После составления акта об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных комиссия передает их в общий отдел для последующего хранения. Акты и выгрузки из журнала хранятся в течение трех лет с момента уничтожения персональных данных.
При получении запроса субъекта персональных данных Оператор уведомляет его о дате и способе уничтожения персональных данных.
СВЕДЕНИЯ О РЕАЛИЗУЕМЫХ ТРЕБОВАНИЯХ К ЗАЩИТЕ ПЕРСОНАЛЬНЫХ ДАННЫХ.
Оператор принимает меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, в том числе:
назначен ответственный за организацию обработки персональных данных;
разработан и утвержден документ, определяющий политику Оператора в отношении обработки персональных данных, локальные акты по вопросам обработки персональных данных;
осуществляется внутренний контроль соответствия обработки персональных данных Закону о персональных данных и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора;
проведена оценка вреда, который может быть причинен субъектам персональных данных, соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных законодательством;
работники Оператора, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, осуществляется обучение указанных работников;
Оператор при обработке персональных данных принимает или обеспечивает принятие необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных, в том числе:
применяются организационные и технические меры по обеспечению защиты персональных данных с учетом актуальных угроз безопасности персональных данных и информационных технологий, используемых в информационной системе;
определены угрозы безопасности персональных данных;
проведена оценка соответствия средств защиты информации;
установлен уровень защищенности персональных данных при их обработке в информационной системе;
проведена оценка эффективности мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
утвержден перечень лиц, доступ которых к персональным данным, обрабатываемым в информационной системе, необходим для выполнения ими трудовых обязанностей;
установлен механизм обнаружения фактов несанкционированного доступа к персональным данным и меры, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на информационные системы персональных данных и по реагированию на компьютерные инциденты в них; установлены правила доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечена регистрация и учет всех действий, совершаемых с персональными данными в информационной системе персональных данных;
Персональные данные доступны лишь для строго определенных работников оператора. Хранение сведений (базы данных) организовано на специализированном облачном ресурсе с правом доступа исключительно у лиц, допущенных к обработке ПДн, на бумажных носителях – в специально оборудованном помещении или закрытых шкафах. В соответствии с Постановлением Правительства Российской Федерации от 15.09.2008 № 687 лица, осуществляющие обработку персональных данных без использования средств автоматизации, проинформированы об особенностях и правилах осуществления такой обработки, локальными актами установлены места хранения персональных данных и перечень лиц осуществляющих обработку персональных данных.
Запросы пользователей информационной системы на получение персональных данных, а также факты предоставления персональных данных по этим запросам регистрируются автоматизированными средствами информационной системы в электронном журнале обращений. Содержание электронного журнала обращений периодически проверяется соответствующими должностными лицами (работниками) Оператора или уполномоченного лица. При обнаружении нарушений порядка предоставления персональных данных Оператор или уполномоченное лицо незамедлительно приостанавливают предоставление персональных данных пользователям информационной системы до выявления причин нарушений и устранения этих причин.
Компания требует от иных лиц, получивших доступ к персональным данным, не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
ПРАВА И ОБЯЗАННОСТИ ООО «АГРЕГАТОР»
ООО «Агрегатор» вправе:
отстаивать свои интересы в суде;
предоставлять персональные данные субъектов третьим лицам, если это предусмотрено действующим законодательством (налоговые, правоохранительные органы и др.);
отказывать в предоставлении персональных данных в случаях, предусмотренных законодательством;
осуществлять записи телефонных переговоров с субъектом персональных данных;
использовать персональные данные субъекта без его согласия, в случаях предусмотренных законодательством.
ООО «Агрегатор» обязано:
в срок не позднее 3 (три) рабочих дня с момента получения запроса субъекта персональных данных изменить или уничтожить персональные данные субъекта;
в соответствии с п. 4 ст. 16 Федерального закона «Об информации, информационных технологиях и о защите информации» ООО «Агрегатор» обязуется: предотвращать попытки несанкционированного доступа к информации и/или передачу ее лицам, не имеющим непосредственного отношения к исполнению Заказов; своевременно обнаруживать и пресекать такие факты;
осуществлять внутренний контроль соответствия обработки персональных данных требованиям законодательства в порядке и сроки, установленные законодательством, а также в случае выявления угрозы безопасности персональных данных при их обработке.
ПРАВА И ОБЯЗАННОСТИ СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ
ООО Субъект персональных данных имеет право:
требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав путем направления соответствующего запроса на электронный адрес agregator@pastmail.ru.
требовать перечень своих персональных данных, обрабатываемых Оператором и источник их получения, направив соответствующий запрос на указанный выше электронный адрес;
получать информацию о сроках обработки своих персональных данных, в том числе о сроках их хранения;
требовать извещения всех лиц, которым ранее были сообщены неверные или неполные его персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях;
обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия при обработке его персональных данных.
ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ
Настоящая Политика подлежит изменению, дополнению в случае появления новых законодательных актов и специальных нормативных документов по обработке и защите персональных данных.
Новая Политика в отношении обработки персональных данных вступает в силу с момента ее размещения, если иное не предусмотрено новой редакцией Политики.
Настоящая Политика является внутренним документом ООО «Агрегатор».
Контроль исполнения требований настоящей Политики осуществляется директором ООО «Агрегатор».
