Политика конфиденциальности и обработки персональных данных

1.1. Положение об обработке и защите персональных данных (далее — Положение) издано и применяется индивидуальный предприниматель (ИП) «Цибулаев Андрей Александрович» (далее — Оператор или Общество) в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).
1.2. Настоящее Положение определяет политику, порядок и условия Оператора в отношении обработки и защиты персональных данных, устанавливает процедуры, направленные на предотвращение и выявление нарушений законодательства Российской Федерации, устранение последствий таких нарушений, связанных с обработкой и защитой персональных данных.
1.3. В Положении устанавливаются:
·  цель, порядок и условия обработки персональных данных;
·  категории субъектов, персональные данные которых обрабатываются, категории (перечни) обрабатываемых персональных данных, способы, сроки их обработки и хранения, порядок уничтожения таких данных при достижении целей обработки или при наступлении иных законных оснований;
·  положения, касающиеся защиты персональных данных, процедуры, направленные на выявление и предотвращение нарушений законодательства РФ в области персональных данных, на устранение последствий таких нарушений.
1.4. В Положении используются термины и определения в соответствии с их значениями, определёнными в Законе о персональных данных.
Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
Оператор персональных данных (оператор) — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение, распространение персональных данных.
Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.
Передача персональных данных (предоставление, доступ) — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, когда обработка необходима для уточнения персональных данных).
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
Информационная система персональных данных — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.5. Основные права и обязанности
Оператора1.5.1. Оператор имеет право:

1. самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;
2. поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению Оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, соблюдать конфиденциальность персональных данных, принимать необходимые меры, направленные на обеспечение выполнения обязанностей, предусмотренных Законом о персональных данных;
3. в случае отзыва субъектом персональных данных согласия на обработку персональных данных Оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных.

1.5.2. Оператор обязан:

1. организовывать обработку персональных данных в соответствии с требованиями Закона о персональных данных;
2. отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
3. сообщать в уполномоченный орган по защите прав субъектов персональных данных (Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор)) по запросу этого органа необходимую информацию в течение 10 рабочих дней с даты получения такого запроса. Данный срок может быть продлён, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в Роскомнадзор мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации;
4. в порядке, определённом федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности, обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование его о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, доступ), распространение персональных данных.

1.6. Основные права субъекта персональных данных
Субъект персональных данных имеет право:

1. получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок её получения установлен Законом о персональных данных;
2. требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
3. обжаловать в Роскомнадзоре или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных.

1.7. Положение вступает в силу с момента его утверждения генеральным директором и действует до его отмены приказом генерального директора или до введения нового Положения.
1.8. Положение распространяется на отношения в области обработки персональных данных, возникшие у Оператора как до, так и после утверждения настоящего Положения.
1.9. Внесение изменений в Положение производится приказом генерального директора. Изменения вступают в силу с момента подписания соответствующего приказа.
1.10. Все вопросы, связанные с обработкой и защитой персональных данных, не урегулированные настоящим Положением, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.
1.11. Во исполнение требований п. 2 ст. 18.1 Закона о персональных данных настоящее Положение публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на сайте Оператора.

2.1. К субъектам, персональные данные которых обрабатываются в Обществе в соответствии с Положением, относятся:
Пользователи сайта (физические лица, предоставляющие свои данные через формы обратной связи или регистрации).

3.1. Обработка персональных данных Оператором осуществляется исключительно в следующих целях:
• Организация и подтверждение записи на прием (включая связь с пользователем для уточнения деталей).
• Обеспечение обратной связи с пользователями в рамках предоставления запрашиваемых услуг.
3.2. Обработка данных ограничивается указанными целями. Не допускается использование персональных данных для иных целей без дополнительного согласия субъекта.

4.1. Оператор обрабатывает следующие категории персональных данных пользователей:
• Фамилия, имя, отчество (при наличии) (ФИО).
• Номер телефона (для связи и подтверждения записи).
• Дата приема (включая время, если требуется).
4.2. Иные персональные данные, не указанные в п. 4.1, не подлежат сбору и обработке, за исключением случаев, прямо предусмотренных законодательством Российской Федерации.
4.3. Оператором не осуществляется обработка специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, за исключением случаев, предусмотренных законодательством РФ.
4.4. Обработка биометрических персональных данных (сведений, которые характеризуют физиологические и биологические особенности человека, на основании которых можно установить его личность) допускается только при наличии письменного согласия субъекта персональных данных. Исключение составляют ситуации, предусмотренные п. 2 ст. 11 Закона о персональных данных.

5.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», иных нормативных правовых актов Российской Федерации в области персональных данных, а также настоящего Положения.
5.2. Обработка персональных данных включает следующие действия:
• сбор;
• запись;
• систематизацию;
• накопление;
• хранение;
• уточнение (обновление, изменение);
• использование;
• передачу (в случаях, предусмотренных разделом 5.5 настоящего Положения);
• блокирование;
• удаление;
• уничтожение.
5.3. Обработка персональных данных осуществляется:
• с использованием средств автоматизации (через веб-сайт Оператора);
• без использования средств автоматизации (при последующей ручной обработке данных уполномоченными сотрудниками).
5.4. Сбор персональных данных осуществляется:
• непосредственно от субъектов персональных данных через формы обратной связи и регистрации на веб-сайте;
• в объеме, строго необходимом для достижения заявленных целей обработки.
5.5. Передача персональных данных третьим лицам допускается только в следующих случаях:
• для технической поддержки функционирования веб-сайта (хостинг-провайдерам);
• при необходимости организации приема (например, медицинским учреждениям);
• по требованию уполномоченных государственных органов в случаях, предусмотренных законодательством РФ.
5.6. При передаче персональных данных третьим лицам Оператор обеспечивает заключение соответствующих договоров, содержащих обязательства по соблюдению конфиденциальности и безопасности персональных данных.
5.7. Обработка персональных данных осуществляется при наличии согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством Российской Федерации.5.8. Обработка персональных данных осуществляется с согласия субъектов персональных данных на обработку их персональных данных, а также без такового в случаях, предусмотренных законодательством Российской Федерации.
5.8. Согласие на обработку персональных данных оформляется в виде активного действия пользователя (проставление отметки в чек-боксе) при заполнении форм на веб-сайте.
5.9. Оператор принимает необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.
5.10. Обработка персональных данных, разрешённых субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных ст. 10.1 Закона о персональных данных.
Требования к содержанию согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения, утверждены Приказом Роскомнадзора от 24.02.2021 № 18.
Согласие на обработку персональных данных, разрешённых субъектом персональных данных для распространения, оформляется отдельно от иных согласий субъекта персональных данных на обработку его персональных данных. Согласие предоставляется субъектом персональных данных лично либо в форме электронного документа, подписанного электронной подписью, с использованием информационной системы Роскомнадзора.

6.1. Сроки обработки персональных данных определяются следующими условиями:
• для организации записи на прием - до момента завершения оказания услуги;
• для обеспечения обратной связи - до момента полного решения вопроса пользователя.
6.2. Персональные данные подлежат хранению:
• в электронной форме - в течение 1 (одного) года с момента последнего взаимодействия с пользователем;
• на бумажных носителях (при наличии) - в течение сроков, установленных законодательством об архивном деле.
6.3. По истечении указанных сроков персональные данные подлежат уничтожению, за исключением случаев, когда:
• федеральным законом установлена обязанность по более длительному хранению;
• данные необходимы для разрешения спора или расследования инцидента.
6.4. Уничтожение персональных данных осуществляется:
• электронных данных - путем безвозвратного удаления из информационных систем;
• бумажных носителей - с использованием шредера.
6.5. Факт уничтожения персональных данных оформляется соответствующим актом.

7.1. Подтверждение факта обработки персональных данных Оператором, правовые основания и цель обработки персональных данных, а также иные сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, предоставляются Оператором субъекту персональных данных или его представителю в течение 10 рабочих дней с момента обращения либо получения запроса субъекта персональных данных или его представителя. Данный срок может быть продлён, но не более чем на пять рабочих дней. Для этого Оператору следует направить субъекту персональных данных мотивированное уведомление с указанием причин продления срока предоставления запрашиваемой информации.
В предоставляемые сведения не включаются персональные данные, относящиеся к другим субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных.
Запрос должен содержать:
• номер основного документа, удостоверяющего личность субъекта персональных данных или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе;
• сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
• подпись субъекта персональных данных или его представителя, дату обращения.
Запрос может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством Российской Федерации.
Оператор предоставляет сведения, указанные в ч. 7 ст. 14 Закона о персональных данных, субъекту персональных данных или его представителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
Если в обращении (запросе) субъекта персональных данных не отражены в соответствии с требованиями Закона о персональных данных все необходимые сведения или субъект не обладает правами доступа к запрашиваемой информации, то ему направляется мотивированный отказ.
Право субъекта персональных данных на доступ к его персональным данным может быть ограничено в соответствии с ч. 8 ст. 14 Закона о персональных данных, в том числе если доступ субъекта персональных данных к его персональным данным нарушает права и законные интересы третьих лиц.
7.2. В случае выявления неточностей персональных данных при обращении субъекта персональных данных или его представителя либо по их запросу или по запросу Роскомнадзора Оператор осуществляет блокирование персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы субъекта персональных данных или третьих лиц.
В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных субъектом персональных данных или его представителем либо Роскомнадзором, или иных необходимых документов уточняет персональные данные в течение 7 рабочих дней со дня представления таких сведений и снимает блокирование персональных данных.
7.3. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя либо Роскомнадзора Оператор осуществляет блокирование неправомерно обрабатываемых персональных данных, относящихся к этому субъекту персональных данных, с момента такого обращения или получения запроса.
7.4. При выявлении Оператором, Роскомнадзором или иным заинтересованным лицом факта неправомерной или случайной передачи (предоставления, доступа к персональным данным) или распространения персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор:
• в течение 24 часов уведомляет Роскомнадзор о произошедшем инциденте, предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, предполагаемом вреде, нанесённом правам субъектов персональных данных, и принятых мерах по устранению последствий инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с инцидентом;
• в течение 72 часов уведомляет Роскомнадзор о результатах внутреннего расследования выявленного инцидента и предоставляет сведения о лицах, действия которых стали его причиной (при наличии).
7.5. Порядок уничтожения персональных данных Оператором
7.5.1. Условия и сроки уничтожения персональных данных Оператором:
• достижение цели обработки персональных данных либо утрата необходимости достигать эту цель — в течение 30 дней;
• достижение максимальных сроков хранения документов, содержащих персональные данные, — в течение 30 дней;
• предоставление субъектом персональных данных (его представителем) подтверждения того, что персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки, — в течение 7 рабочих дней;
• отзыв субъектом персональных данных согласия на обработку его персональных данных, если их сохранение для цели их обработки более не требуется, — в течение 30 дней;
• выявление неправомерной обработки персональных данных, осуществляемой Оператором или лицом, действующим по его поручению, если невозможно обеспечить правомерность такой обработки (п. 3 ст. 21 Закона о персональных данных) — в течение 10 рабочих дней с даты выявления неправомерной обработки данных.
7.5.2. При достижении цели обработки персональных данных, а также в случае отзыва субъектом персональных данных согласия на их обработку, персональные данные подлежат уничтожению, если:
• иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
• оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами;
• иное не предусмотрено другим соглашением между Оператором и субъектом персональных данных.
7.5.3. Уничтожение персональных данных осуществляет комиссия, созданная приказом генерального директора Общества.
Комиссия составляет список с указанием документов, иных материальных носителей и (или) сведений в информационных системах, содержащих персональные данные, которые подлежат уничтожению.
Комиссия подтверждает уничтожение персональных данных, указанных в п. 7.5.1 Положения, согласно Требованиям к подтверждению уничтожения персональных данных, утверждённым Приказом Роскомнадзора от 28.10.2022 № 179.
7.5.4. Персональные данные на бумажных носителях уничтожаются с использованием шредера. Персональные данные на электронных носителях уничтожаются путём механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путём удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации.
7.5.5. В случае, если обработка персональных данных осуществляется Оператором без использования средств автоматизации, документом, подтверждающим уничтожение персональных данных субъектов персональных данных, является Акт об уничтожении персональных данных.
7.5.6. В случае, если обработка персональных данных осуществляется Оператором с использованием средств автоматизации, документами, подтверждающими уничтожение персональных данных субъектов персональных данных, являются Акт об уничтожении персональных данных и выгрузка из журнала регистрации событий в информационной системе персональных данных (далее — Выгрузка из журнала).
7.5.7. Акт об уничтожении персональных данных должен содержать:
а) наименование (юридического лица) или фамилию, имя, отчество (при наличии) (физического лица) и адрес Оператора;
б) наименование (юридического лица) или фамилию, имя, отчество (при наличии) (физического лица), адрес лица (лиц), осуществляющего (осуществляющих) обработку персональных данных субъекта (субъектов) персональных данных по поручению Оператора (если обработка была поручена такому (таким) лицу (лицам));
в) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
г) фамилию, имя, отчество (при наличии), должность лиц (лица), уничтоживших персональные данные субъекта персональных данных, а также их (его) подпись;
д) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
е) наименование уничтоженного материального (материальных) носителя (носителей), содержащего (содержащих) персональные данные субъекта (субъектов) персональных данных, с указанием количества листов в отношении каждого материального носителя (в случае обработки персональных данных без использования средств автоматизации);
ж) наименование информационной (информационных) системы (систем) персональных данных, из которой (которых) были уничтожены персональные данные субъекта (субъектов) персональных данных (в случае обработки персональных данных с использованием средств автоматизации);
з) способ уничтожения персональных данных;
и) причину уничтожения персональных данных;
к) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
7.5.8. Выгрузка из журнала должна содержать:
а) фамилию, имя, отчество (при наличии) субъекта (субъектов) или иную информацию, относящуюся к определённому (определённым) физическому (физическим) лицу (лицам), чьи персональные данные были уничтожены;
б) перечень категорий уничтоженных персональных данных субъекта (субъектов) персональных данных;
в) наименование информационной системы персональных данных, из которой были уничтожены персональные данные субъекта (субъектов) персональных данных;
г) причину уничтожения персональных данных;
д) дату уничтожения персональных данных субъекта (субъектов) персональных данных.
В случае если выгрузка из журнала не позволяет указать отдельные сведения, предусмотренные выше, недостающие сведения вносятся в Акт об уничтожении персональных данных.
7.5.9. Акт об уничтожении персональных данных может составляться на бумажном носителе или в электронной форме, подписанной электронными подписями.
7.5.10. Формы акта об уничтожении персональных данных и выгрузки из журнала с учётом сведений, которые должны содержаться в указанных документах, утверждаются приказом генерального директора Общества.
7.5.11. После составления Акта об уничтожении персональных данных и выгрузки из журнала регистрации событий в информационной системе персональных данных комиссия передаёт их в отдел архива Общества для последующего хранения.
Акты об уничтожении персональных данных и выгрузки из журнала хранятся в течение трёх лет с момента уничтожения персональных данных.

8.1. Меры, принимаемые Оператором для обеспечения защиты персональных данных, включают:
1. назначено лицо, ответственное за организацию обработки персональных данных;
2. изданы локальные нормативные акты и иные документы Оператора в области обработки и защиты персональных данных;
3. обеспечено применение правовых, организационных и технических мер по обеспечению безопасности персональных данных в соответствии со статьёй 19 настоящего Федерального закона «О персональных данных»;
4. осуществляется внутренний контроль соответствия обработки персональных данных Федеральному закону «О персональных данных» и принятым в соответствии с ним нормативным правовым актам, требованиям к защите персональных данных, политике Оператора в отношении обработки персональных данных, локальным актам Оператора;
5. обеспечено проведение оценки вреда, который может быть причинён субъектам персональных данных в случае нарушения Федерального закона «О персональных данных», соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федеральным законом «О персональных данных»;
6. работники, непосредственно осуществляющие обработку персональных данных, ознакомлены с положениями законодательства Российской Федерации о персональных данных, в том числе требованиями к защите персональных данных, документами, определяющими политику Оператора в отношении обработки персональных данных, локальными актами по вопросам обработки персональных данных, проведено обучение указанных работников;
7. иные мероприятия в соответствии с действующим законодательством в области персональных данных.
8.2. Средства обеспечения безопасности персональных данных Оператора:
• Использование защищенных протоколов передачи данных (HTTPS).
• Реализацию системы разграничения прав доступа к информационным системам.
• Применение антивирусной защиты и средств предотвращения кибератак.
• Регулярное резервное копирование данных.
• Использование средств криптографической защиты информации при необходимости.
8.3. Оператор обеспечивает:
• Регистрацию и учет действий с персональными данными в информационных системах.
• Контроль за физической безопасностью помещений, где осуществляется обработка персональных данных.
• Немедленное реагирование на инциденты, связанные с нарушением режима защиты персональных данных.
8.4. В случае выявления нарушений в обработке персональных данных Оператор обязуется:
• В течение 24 часов уведомить уполномоченный орган (Роскомнадзор) о произошедшем инциденте.
• Принять все необходимые меры для устранения последствий нарушения.
• Провести внутреннее расследование причин инцидента.
8.5. Оператор регулярно проводит оценку эффективности принимаемых мер защиты и при необходимости вносит коррективы в систему защиты персональных данных.

9.1. Общие положения
• Под трансграничной передачей персональных данных понимается передача данных на территорию иностранного государства иностранному органу власти, физическому или юридическому лицу.
• Оператор осуществляет обработку и хранение персональных данных преимущественно на территории Российской Федерации.

9.2. Условия трансграничной передачи
Трансграничная передача персональных данных может осуществляться только при одновременном соблюдении следующих условий:
Иностранное государство обеспечивает адекватную защиту прав субъектов персональных данных (включено в перечень стран Роскомнадзора);
Имеется письменное согласие субъекта на такую передачу, содержащее:
• Цель передачи;
• Перечень передаваемых данных;
• Наименование иностранного получателя;
• Подтверждение ознакомления с рисками.

Передача необходима для:
• Исполнения международного договора РФ;
• Защиты жизни и здоровья субъекта;
• Осуществления правосудия.

9.3. Обязанности Оператора
При трансграничной передаче Оператор обязан:
Уведомить Роскомнадзор в течение 10 рабочих дней;
Заключить соглашение с иностранным получателем, гарантирующее:
• Конфиденциальность данных;
• Ограничение целей использования;
• Защиту от несанкционированного доступа;
Вести реестр всех случаев трансграничной передачи.
9.4. Запреты
• Запрещается передача данных в страны:
• Не обеспечивающие адекватную защиту (вне перечня Роскомнадзора);
• Находящиеся под санкциями РФ;
• При отсутствии механизмов правовой защиты данных.

9.5. Ответственность
• Оператор несет ответственность за последствия передачи в соответствии с законодательством РФ;
• При нарушении требований передача немедленно прекращается.

10.1. Вступление в силу и срок действия
1. Положение вступает в силу с момента его утверждения генеральным директором;
2. Действует бессрочно до замены новой версией.

10.2. Порядок внесения изменений
1. Изменения вносятся приказом генерального директора;
2. Обязательные условия для изменений:
• Проведение правовой экспертизы;
• Учет мнения ответственного за обработку ПДн;
• Публикация новой редакции на сайте в течение 3 рабочих дней.

10.3. Публичность и доступность
1. Актуальная версия Положения размещается:
• На официальном сайте в разделе "Политика конфиденциальности";
• В местах сбора персональных данных (формы обратной связи);
2. Предоставляется по первому запросу в течение 5 рабочих дней.

10.4. Разрешение споров
3. Претензии рассматриваются в досудебном порядке в течение 30 дней;
4. Судебные споры подлежат рассмотрению по месту нахождения Оператора;
5. Применимое право — законодательство Российской Федерации.

10.5. Ответственность за нарушения
Лица, виновные в нарушении требований Положения, несут:
• Дисциплинарную ответственность;
• Гражданско-правовую ответственность;
• Административную/уголовную ответственность по нормам законодательства.

10.6. Заключительные положения
1. Все неурегулированные вопросы трактуются в соответствии с Федеральным законом № 152-ФЗ;
2. Оператор вправе издавать дополнительные регламенты по отдельным аспектам обработки ПДн;
3. Датой последнего обновления считается дата публикации текущей редакции.

Перечень нормативных актов, на которые имеются ссылки в Положении.

*Документ соответствует:
• Ст. 18.1 ФЗ-152 "О персональных данных";
• Постановлению Правительства РФ № 1119 "Об утверждении требований к защите ПДн";
• Рекомендациям Роскомнадзора от 31.08.2022.

Последнее обновление: «01» августа 2025 г.*