1. Общие положения
Настоящая политика в отношении обработки персональных данных (далее – Политика) составлена в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных) и определяет порядок обработки персональных данных и меры по обеспечению безопасности персональных данных, предпринимаемые Обществом с ограниченной ответственностью «Центр Творческих Способностей» (ООО «ЦТС»), ОГРН 1267800074299, ИНН 7811818872, адрес: 192029, г. Санкт-Петербург, пр-кт Обуховской Обороны, д. 89, корп. Литера Б, пом. 9-Н (далее – Оператор), при оказании услуг семейного клуба «Евразики» (далее – Клуб).
1.1. Оператор ставит своей важнейшей целью и условием осуществления своей деятельности соблюдение прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Политика применяется ко всем персональным данным, которые Оператор получает о субъектах персональных данных, указанных в п. 1.3 Политики, в том числе при использовании ими:
— веб-сайта https://evraziki.ru/, включая поддомены (далее – Сайт);
— официальной группы Оператора в социальной сети «ВКонтакте» (https://vk.ru/evraziki_spb) и канала Оператора в мессенджере MAX;
— электронной почты, телефонной связи и мессенджеров;
— личного обращения в Клуб.
1.3. Оператор обрабатывает персональные данные следующих категорий субъектов:
— посетителей Сайта (далее – Пользователи);
— родителей и иных законных представителей несовершеннолетних, заключивших или намеревающихся заключить договор оказания услуг Клуба (далее – Клиенты);
— несовершеннолетних, посещающих занятия и мероприятия Клуба, в том числе не являющихся стороной договора;
— лиц, направивших Оператору обращения и заявки;
— лиц, давших согласие на получение рекламных и информационных рассылок.
Обработка персональных данных работников Оператора и физических лиц, оказывающих Оператору услуги по гражданско-правовым договорам, регулируется отдельной политикой Оператора.
1.4. Ознакомление с Политикой не является согласием на обработку персональных данных. В случаях, когда обработка осуществляется на основании согласия, такое согласие оформляется отдельно от иной информации и документов, которые подтверждает и (или) подписывает субъект персональных данных (ч. 1 ст. 9 Закона о персональных данных). Согласие на обработку персональных данных, разрешённых субъектом для распространения, оформляется отдельно от иных согласий (ч. 1 ст. 10.1 Закона о персональных данных) и не может быть выражено молчанием или бездействием.
2. Основные понятия, используемые в Политике
2.1. Автоматизированная обработка персональных данных – обработка персональных данных с помощью средств вычислительной техники.
2.2. Блокирование персональных данных – временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
2.3. Веб-сайт (Сайт) – совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, обеспечивающих их доступность в сети интернет по сетевому адресу https://evraziki.ru/.
2.4. Информационная система персональных данных – совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
2.5. Обезличивание персональных данных – действия, в результате которых невозможно определить без использования дополнительной информации принадлежность персональных данных конкретному субъекту персональных данных.
2.6. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.
2.7. Оператор персональных данных – государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.
2.8. Персональные данные – любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
2.9. Персональные данные, разрешённые субъектом персональных данных для распространения, – персональные данные, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных путём дачи согласия на обработку персональных данных, разрешённых субъектом персональных данных для распространения, в порядке, предусмотренном Законом о персональных данных (далее – персональные данные, разрешённые для распространения).
2.10. Пользователь – любой посетитель Сайта.
2.11. Предоставление персональных данных – действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
2.12. Распространение персональных данных – действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
2.13. Уничтожение персональных данных – действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
2.14. Законный представитель – родитель, усыновитель, опекун или попечитель несовершеннолетнего.
2.15. Специальные категории персональных данных – в том числе сведения о состоянии здоровья (ст. 10 Закона о персональных данных).
2.16. Файлы cookie – небольшие фрагменты данных, которые Сайт и подключённые к нему сервисы сохраняют в браузере Пользователя.
2.17. Обработчик – лицо, осуществляющее обработку персональных данных по поручению Оператора (ч. 3 ст. 6 Закона о персональных данных).
3. Основные права и обязанности Оператора
3.1. Оператор имеет право:
— получать от субъекта персональных данных достоверные информацию и (или) документы, содержащие персональные данные;
— в случае отзыва субъектом персональных данных согласия на обработку персональных данных, а также направления требования о прекращении обработки персональных данных продолжить обработку персональных данных без согласия субъекта при наличии оснований, указанных в Законе о персональных данных;
— самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативными правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами.
3.2. Оператор обязан:
— предоставлять субъекту персональных данных по его просьбе информацию, касающуюся обработки его персональных данных;
— организовывать обработку персональных данных в порядке, установленном законодательством Российской Федерации;
— назначить лицо, ответственное за организацию обработки персональных данных;
— отвечать на обращения и запросы субъектов персональных данных и их законных представителей в соответствии с требованиями Закона о персональных данных;
— сообщать в Роскомнадзор по его запросу необходимую информацию в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней при направлении мотивированного уведомления (ч. 4 ст. 20 Закона о персональных данных);
— публиковать или иным образом обеспечивать неограниченный доступ к настоящей Политике, в том числе на страницах Сайта, с использованием которых осуществляется сбор персональных данных;
— принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
— в случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных уведомить Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов – о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона о персональных данных);
— уведомлять Роскомнадзор об изменении сведений, содержащихся в уведомлении об обработке персональных данных, в порядке и сроки, установленные ст. 22 Закона о персональных данных;
— прекратить передачу (распространение, предоставление, доступ) персональных данных, прекратить обработку и уничтожить персональные данные в порядке и случаях, предусмотренных Законом о персональных данных;
— исполнять иные обязанности, предусмотренные Законом о персональных данных.
4. Основные права и обязанности субъектов персональных данных
4.1. Субъекты персональных данных имеют право:
— получать информацию, касающуюся обработки их персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются Оператором в доступной форме и не должны содержать персональные данные, относящиеся к другим субъектам, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных;
— требовать от Оператора уточнения их персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
— выдвигать условие предварительного согласия при обработке персональных данных в целях продвижения на рынке товаров, работ и услуг;
— отозвать согласие на обработку персональных данных, а также направить требование о прекращении обработки персональных данных;
— обжаловать в Роскомнадзор или в судебном порядке неправомерные действия или бездействие Оператора при обработке их персональных данных;
— осуществлять иные права, предусмотренные законодательством Российской Федерации.
4.2. Субъекты персональных данных обязаны:
— предоставлять Оператору достоверные данные о себе;
— сообщать Оператору об уточнении (обновлении, изменении) своих персональных данных.
4.3. Лица, передавшие Оператору недостоверные сведения о себе либо сведения о другом субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством Российской Федерации.
4.4. Права несовершеннолетнего, не достигшего 14 лет, в том числе дачу и отзыв согласий, осуществляет его законный представитель с приложением документа, подтверждающего полномочия (свидетельство о рождении, акт об опеке или попечительстве). Несовершеннолетний в возрасте от 14 до 18 лет даёт согласие самостоятельно при наличии письменного согласия законного представителя (предварительного или последующего), за исключением случаев приобретения полной дееспособности до совершеннолетия; отозвать такое согласие вправе как сам несовершеннолетний, так и его законный представитель.
4.5. Запросы субъектов персональных данных рассматриваются Оператором в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней при направлении субъекту мотивированного уведомления (ч. 3 ст. 14, ст. 20 Закона о персональных данных).
5. Принципы обработки персональных данных
5.1. Обработка персональных данных осуществляется на законной и справедливой основе.
5.2. Обработка персональных данных ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
5.3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
5.4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
5.5. Содержание и объём обрабатываемых персональных данных соответствуют заявленным целям обработки. Не допускается избыточность обрабатываемых персональных данных по отношению к заявленным целям их обработки.
5.6. При обработке персональных данных обеспечивается точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор принимает необходимые меры и (или) обеспечивает их принятие по удалению или уточнению неполных или неточных данных.
5.7. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
6. Цели обработки персональных данных
Оператор устанавливает следующие цели обработки персональных данных, а также соответствующие каждой цели категории субъектов, категории персональных данных, правовые основания и сроки обработки.
6.1. Цель: заключение и исполнение договора оказания услуг Клуба (абонемента, пробного занятия, мастер-классов и мероприятий)
6.1.1. Категории субъектов: Клиенты; несовершеннолетние, в интересах которых заключён договор.
6.1.2. Категории персональных данных:
— законного представителя: фамилия, имя, отчество; номер контактного телефона; адрес электронной почты; при оформлении договора на бумажном носителе – паспортные данные (серия, номер, кем и когда выдан, код подразделения) и адрес регистрации по месту жительства;
— несовершеннолетнего: фамилия, имя, отчество; пол; дата рождения; при оформлении договора на бумажном носителе – данные свидетельства о рождении.
6.1.3. Правовое основание: п. 5 ч. 1 ст. 6 Закона о персональных данных – обработка необходима для исполнения договора, стороной которого является законный представитель, а выгодоприобретателем – несовершеннолетний, а также для заключения договора по инициативе субъекта персональных данных.
6.1.4. Срок обработки: в течение срока действия договора и 3 (трёх) лет после его прекращения (общий срок исковой давности, ст. 196 ГК РФ).
6.2. Цель: информирование Клиентов об изменениях расписания и иные сервисные сообщения
6.2.1. Категории субъектов: Клиенты.
6.2.2. Категории персональных данных: фамилия, имя, отчество; номер контактного телефона; адрес электронной почты; имя пользователя (идентификатор) в мессенджере.
6.2.3. Правовое основание: п. 5 ч. 1 ст. 6 Закона о персональных данных – сообщения направляются в рамках исполнения договора (напоминания о занятиях, изменения и отмена занятий, сведения об абонементе) и не содержат рекламы. Сообщения направляются по SMS, электронной почте, в мессенджере MAX, в социальной сети «ВКонтакте» либо по телефону.
6.2.4. Срок обработки: в течение срока действия договора.
6.3. Цель: обработка обращений и заявок, в том числе записи на пробное занятие
6.3.1. Категории субъектов: Пользователи и иные лица, направившие обращение Оператору.
6.3.2. Категории персональных данных: имя; номер контактного телефона; адрес электронной почты; содержание обращения.
6.3.3. Правовое основание: п. 1 ч. 1 ст. 6 Закона о персональных данных – согласие субъекта персональных данных. На Сайте согласие даётся отдельным действием – проставлением отметки в поле, которое не заполнено заранее, со ссылкой на отдельный текст согласия. Если обращение направлено в целях заключения договора, обработка осуществляется также на основании п. 5 ч. 1 ст. 6 Закона о персональных данных.
6.3.4. Заявки, направленные через формы Сайта, сохраняются на платформе Tilda и поступают Оператору на адрес электронной почты (сервис ООО «Яндекс») и в мессенджер MAX (ООО «МАХ»).
6.3.5. Формы Сайта предназначены для заполнения совершеннолетними лицами, в том числе законными представителями. Персональные данные несовершеннолетних через формы Сайта не запрашиваются.
6.3.6. Срок обработки: до достижения цели (ответа на обращение), но не более 30 (тридцати) календарных дней, если по итогам обращения договор не заключён. В случае заключения договора персональные данные обрабатываются в цели, указанной в п. 6.1 Политики.
6.4. Цель: приём оплаты услуг на Сайте и направление кассового чека
6.4.1. Категории субъектов: Клиенты, оплачивающие услуги на Сайте.
6.4.2. Категории персональных данных: фамилия, имя, отчество (при наличии); номер контактного телефона; адрес электронной почты; сумма, дата и назначение платежа; сведения о результате оплаты.
6.4.3. Реквизиты банковских карт Оператор не получает и не обрабатывает. Ввод реквизитов карты производится на защищённой платёжной странице; Оператору передаётся только подтверждение факта оплаты.
6.4.4. Правовые основания: п. 5 ч. 1 ст. 6 Закона о персональных данных – исполнение договора; п. 2 ч. 1 ст. 6 Закона о персональных данных – исполнение обязанности направить покупателю кассовый чек в электронной форме на указанный им номер телефона или адрес электронной почты (п. 2 ст. 1.2 Федерального закона от 22.05.2003 № 54-ФЗ), а также обязанностей по бухгалтерскому и налоговому учёту.
6.4.5. Получатели персональных данных: эквайринг ООО «Банк Точка», сервис оплат PayKeeper (ООО «Пэйкипер»); ФНС России (в составе фискальных данных).
6.4.6. Срок обработки: в течение 5 (пяти) лет после окончания отчётного года, в котором совершён платёж (ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ, пп. 8 п. 1 ст. 23 НК РФ).
6.5. Цель: направление рекламных и информационных рассылок
6.5.1. Категории субъектов: лица, давшие согласие на получение рассылок.
6.5.2. Категории персональных данных: имя; адрес электронной почты.
6.5.3. Правовое основание: п. 1 ч. 1 ст. 6 Закона о персональных данных – согласие субъекта, а также предварительное согласие на получение рекламы (ч. 1 ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»). Согласие даётся отдельным действием – отметкой в отдельном поле, которое не заполнено заранее, и не является условием заключения договора или оплаты услуг.
6.5.4. В каждом письме указывается способ отказа от рассылки: ответить на письмо со словом «Отписаться» либо направить заявление на адрес evraziki@yandex.ru. Получив отказ, Оператор незамедлительно прекращает направление рассылки.
6.5.5. Рассылка осуществляется Оператором вручную с адреса электронной почты evraziki@yandex.ru (сервис ООО «Яндекс»). Адреса получателей указываются в поле скрытой копии, получатели не видят адреса друг друга.
6.5.6. Срок обработки: до отзыва согласия (отказа от рассылки). После отзыва согласия персональные данные, обрабатываемые в этой цели, уничтожаются в течение 10 рабочих дней.
6.6. Цель: публикация фото- и видеоизображений на информационных ресурсах Оператора
6.6.1. Категории субъектов: Клиенты; несовершеннолетние, участвующие в занятиях и мероприятиях Клуба.
6.6.2. Категории персональных данных: фото- и видеоизображения, полученные во время занятий и мероприятий.
6.6.3. Правовое основание: ст. 10.1 Закона о персональных данных, ст. 152.1 ГК РФ – отдельное согласие на обработку персональных данных, разрешённых для распространения, оформленное в соответствии с требованиями Приказа Роскомнадзора от 24.02.2021 № 18. За несовершеннолетнего согласие даётся в порядке, предусмотренном п. 4.4 Политики. В согласии указываются информационные ресурсы, перечень данных, разрешённых для распространения, а также установленные субъектом запреты и условия.
6.6.4. Информационные ресурсы: Сайт; группа «ВКонтакте» https://vk.ru/evraziki_spb; канал Оператора в мессенджере MAX; печатные материалы Клуба – в пределах, указанных в согласии.
6.6.5. Срок обработки: в течение срока, указанного в согласии, а если срок не указан – до отзыва согласия. Печатные материалы, изданные до получения отзыва, изъятию не подлежат.
6.7. Цель: обеспечение безопасности ребёнка на занятиях с учётом состояния его здоровья
6.7.1. Категории субъектов: несовершеннолетние, посещающие занятия Клуба.
6.7.2. Категории персональных данных (специальная категория – сведения о состоянии здоровья): сведения об аллергиях и непереносимости, хронических заболеваниях, ограничениях по нагрузке, необходимости приёма лекарств во время занятий. Сведения предоставляются законным представителем добровольно.
6.7.3. Правовое основание: п. 1 ч. 2 ст. 10 Закона о персональных данных – согласие в письменной форме, данное в порядке, предусмотренном п. 4.4 Политики.
6.7.4. Сведения передаются ведущим занятий в объёме, необходимом для обеспечения безопасности ребёнка, если это предусмотрено согласием. Ведущие обязаны соблюдать конфиденциальность полученных сведений.
6.7.5. Срок обработки: в течение срока действия договора (абонемента) и 1 (одного) месяца после его окончания, если более длительный срок не требуется для расследования инцидента.
6.8. Цель: обеспечение безопасности в помещениях Клуба (видеонаблюдение)
6.8.1. Категории субъектов: Клиенты, несовершеннолетние и иные посетители Клуба.
6.8.2. Категории персональных данных: видеоизображение (без звука), дата и время записи, место установки камеры. Аудиозапись не ведётся. Видеоизображения не используются для установления личности и не являются биометрическими персональными данными.
6.8.3. Правовое основание: п. 7 ч. 1 ст. 6 Закона о персональных данных – обеспечение безопасности детей, работников и посетителей, предотвращение противоправных действий и охрана имущества. Помещения, в которых ведётся видеонаблюдение, обозначены информационными знаками.
6.8.4. Доступ к видеозаписям имеют только лица, определённые приказом Оператора. Передача записей третьим лицам допускается только в случаях, предусмотренных законодательством Российской Федерации. Порядок обслуживания системы видеонаблюдения, перечень ответственных лиц и процедура уничтожения записей определяются Положением о видеонаблюдении.
6.8.5. Срок обработки: не более 30 (тридцати) календарных дней с момента записи; при расследовании инцидента или по требованию законодательства – до завершения расследования, но не более 6 (шести) месяцев. По истечении срока записи уничтожаются автоматически или уполномоченным лицом с составлением акта.
6.9. Цель: обеспечение работы Сайта и анализ его посещаемости (файлы cookie)
6.9.1. Категории субъектов: Пользователи.
6.9.2. Категории персональных данных: IP-адрес; сведения о браузере, устройстве и операционной системе; файлы cookie и иные идентификаторы; дата и время посещения; просмотренные страницы; источник перехода на Сайт.
6.9.3. Технические файлы cookie платформы Tilda необходимы для работы и безопасности Сайта. Платформа также формирует обезличенную статистику посещений, которая используется только для анализа работы Сайта.
6.9.4. На Сайте используется сервис веб-аналитики «Яндекс Метрика» (ООО «Яндекс»). Аналитические файлы cookie и сервис «Яндекс Метрика» запускаются только после того, как Пользователь даст согласие в окне уведомления о файлах cookie (п. 1 ч. 1 ст. 6 Закона о персональных данных). Пользователь вправе отказаться от аналитических файлов cookie; отказ не ограничивает доступ к Сайту. Запись действий Пользователя на страницах Сайта (функция «Вебвизор») не ведётся.
6.9.5. Пользователь может отозвать согласие, удалив файлы cookie в настройках браузера либо направив заявление в порядке, предусмотренном п. 8.5 Политики.
6.9.6. Срок обработки: технические файлы cookie – до окончания сессии; файлы cookie «Яндекс Метрики» – не более 1 (одного) года; обезличенная статистика платформы Tilda – не более 12 (двенадцати) месяцев.
6.10. Оператор не обрабатывает персональные данные в целях, не указанных в настоящем разделе. Перед началом обработки в новых целях (в том числе при запуске продажи онлайн-курсов) Оператор вносит изменения в Политику и в уведомление об обработке персональных данных.
7. Правовые основания и условия обработки персональных данных
7.1. Правовыми основаниями обработки персональных данных являются: Конституция Российской Федерации; Гражданский кодекс Российской Федерации (в том числе ст. 152.1); Налоговый кодекс Российской Федерации; Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»; Федеральный закон от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники…»; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»; Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»; Закон о персональных данных; Устав Оператора; договоры, заключаемые между Оператором и Клиентами; согласия субъектов персональных данных.
7.2. Оператор обрабатывает персональные данные при наличии хотя бы одного из следующих условий:
— обработка осуществляется с согласия субъекта персональных данных;
— обработка необходима для достижения целей, предусмотренных законом, для осуществления возложенных законодательством Российской Федерации на Оператора функций, полномочий и обязанностей;
— обработка необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством Российской Федерации об исполнительном производстве;
— обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект будет являться выгодоприобретателем или поручителем;
— обработка необходима для осуществления прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
— обрабатываются персональные данные, подлежащие опубликованию или обязательному раскрытию в соответствии с федеральным законом.
7.3. Обработка специальных категорий персональных данных (сведений о состоянии здоровья) осуществляется только при наличии согласия в письменной форме (п. 1 ч. 2 ст. 10 Закона о персональных данных). Обработка персональных данных, разрешённых для распространения, осуществляется в порядке ст. 10.1 Закона о персональных данных.
8. Порядок сбора, хранения, передачи и других видов обработки персональных данных
Безопасность персональных данных, которые обрабатываются Оператором, обеспечивается путём реализации правовых, организационных и технических мер, необходимых для выполнения в полном объёме требований законодательства в области защиты персональных данных.
8.1. Оператор осуществляет обработку персональных данных смешанным способом – с использованием средств автоматизации и без их использования (на бумажных носителях).
8.2. Оператор обеспечивает сохранность персональных данных и принимает меры, исключающие доступ к ним неуполномоченных лиц, в том числе:
— назначение ответственного за организацию обработки персональных данных;
— утверждение локальных актов по вопросам обработки персональных данных и ознакомление с ними работников, допущенных к обработке;
— ограничение доступа работников к персональным данным в соответствии с их должностными обязанностями, в том числе к формам Сайта и результатам их отправки;
— применение технических средств защиты информации (парольная политика, разграничение прав доступа, резервное копирование, защита каналов связи);
— учёт материальных носителей персональных данных и контроль за их использованием;
— внутренний контроль соответствия обработки персональных данных требованиям Закона о персональных данных.
Конкретный состав мер определяется внутренними документами Оператора с учётом характера и объёма обрабатываемых персональных данных.
8.3. Оператор передаёт персональные данные третьим лицам только при наличии основания, предусмотренного Законом о персональных данных, и в объёме, необходимом для соответствующей цели. Получателями персональных данных являются:
— АО «Тильда Паблишинг» – платформа Сайта: обработка данных, передаваемых через формы Сайта, и технических данных по поручению Оператора; хранение данных на серверах, расположенных на территории Российской Федерации;
— ООО «Яндекс» – электронная почта Оператора (получение заявок с Сайта и переписка с Клиентами, направление рассылок) и сервис «Яндекс Метрика»; на Сайте также размещён виджет «Яндекс Карты»;
— ООО «МАХ» – мессенджер MAX (получение заявок с Сайта, коммуникация с Клиентами, канал Оператора);
— ООО «В Контакте» – социальная сеть «ВКонтакте» (коммуникация с Клиентами, публикация материалов при наличии согласия на распространение);
— ООО «Банк Точка», PayKeeper (ООО «Пэйкипер») – платёжный сервис, банк-эквайер, онлайн-касса, оператор фискальных данных;
— ведущие занятий (исполнители по гражданско-правовым договорам) – в объёме, необходимом для проведения занятий и обеспечения безопасности детей, при условии соблюдения ими конфиденциальности;
— государственные органы – в случаях, предусмотренных законодательством Российской Федерации.
8.4. Лица, обрабатывающие персональные данные по поручению Оператора, обязаны соблюдать принципы и правила обработки персональных данных, предусмотренные Законом о персональных данных, и обеспечивать их конфиденциальность и безопасность (ч. 3 ст. 6 Закона о персональных данных). Ответственность перед субъектом персональных данных за действия таких лиц несёт Оператор (ч. 5 ст. 6 Закона о персональных данных). Организации, оказывающие услуги связи и платёжные услуги, могут обрабатывать персональные данные также в качестве самостоятельных операторов в соответствии со своими политиками.
8.5. Уточнение персональных данных и отзыв согласия. Субъект персональных данных вправе направить заявление об уточнении своих персональных данных или об отзыве согласия на обработку персональных данных (в том числе согласия на обработку сведений о состоянии здоровья) одним из следующих способов: на адрес электронной почты Оператора evraziki@yandex.ru; путём подачи письменного заявления администратору Клуба; почтовым отправлением по адресу Оператора. В случае отзыва согласия Оператор прекращает обработку персональных данных и уничтожает их в течение 10 рабочих дней с даты получения отзыва, если отсутствуют иные основания для обработки, предусмотренные Законом о персональных данных или другими федеральными законами (ч. 5 ст. 21 Закона о персональных данных).
8.6. Отзыв согласия на распространение персональных данных (фото- и видеоизображений) осуществляется в порядке, указанном в п. 8.5 Политики. Оператор прекращает распространение (удаляет соответствующие материалы с Сайта, из группы «ВКонтакте» и канала в мессенджере MAX) не позднее 3 (трёх) рабочих дней с даты получения требования. Печатные материалы, изданные до получения отзыва, изъятию не подлежат.
8.7. Оператор обрабатывает персональные данные, разрешённые субъектом для распространения, исключительно в порядке и на условиях, установленных ст. 10.1 Закона о персональных данных, с соблюдением запретов и условий, установленных субъектом.
8.8. Оператор при обработке персональных данных обеспечивает конфиденциальность персональных данных.
8.9. Оператор хранит персональные данные в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором. Сроки обработки по каждой цели указаны в разделе 6 Политики и в сводной таблице (Приложение). Если срок не установлен Политикой, федеральным законом или договором, персональные данные уничтожаются или обезличиваются в течение 30 (тридцати) календарных дней с даты достижения цели обработки.
8.10. Порядок уничтожения персональных данных.
8.10.1. Уничтожение персональных данных производится в следующих случаях: достижение цели обработки; истечение установленного срока хранения; отзыв согласия субъектом, если иное не предусмотрено законом; выявление неправомерной обработки персональных данных; требование Роскомнадзора; ликвидация Оператора.
8.10.2. Уничтожение персональных данных на бумажных носителях осуществляется путём измельчения с помощью шредера, сожжения или химической обработки, исключающей возможность прочтения.
8.10.3. Уничтожение персональных данных в электронной форме осуществляется путём безвозвратного удаления с использованием штатных средств информационной системы, форматирования носителя с последующей перезаписью или физического уничтожения носителя.
8.10.4. Факт уничтожения персональных данных подтверждается актом об уничтожении, а при обработке с использованием средств автоматизации – также выгрузкой из журнала регистрации событий в информационной системе, в соответствии с требованиями Приказа Роскомнадзора от 28.10.2022 № 179. Акт подписывается лицом, ответственным за организацию обработки персональных данных, и хранится не менее 3 (трёх) лет с момента уничтожения.
8.11. Локализация. В соответствии с ч. 5 ст. 18 Закона о персональных данных запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации. Сайт размещён на платформе Tilda с хранением данных на серверах в Российской Федерации; сервисы электронной почты и мессенджера, используемые Оператором, размещают данные на территории Российской Федерации.
9. Перечень действий, производимых Оператором с полученными персональными данными
9.1. Оператор осуществляет сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
9.2. Оператор осуществляет обработку персональных данных с использованием средств автоматизации с получением и (или) передачей полученной информации по информационно-телекоммуникационным сетям, а также без использования средств автоматизации.
10. Конфиденциальность персональных данных
10.1. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.
10.2. Трансграничную передачу персональных данных Оператор не осуществляет.
11. Заключительные положения
11.1. Лицо, ответственное за организацию обработки персональных данных, – генеральный директор ООО «ЦТС» Брейзе Александр Андреевич. Разъяснения по вопросам обработки персональных данных можно получить, направив обращение на адрес электронной почты evraziki@yandex.ru или по адресу Оператора.
11.2. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не предусмотрено новой редакцией. Политика действует бессрочно до замены её новой редакцией.
11.3. Актуальная редакция Политики находится в свободном доступе по адресу https://evraziki.ru/politikPD. Ссылка на Политику размещается на страницах Сайта, с использованием которых осуществляется сбор персональных данных (ч. 2 ст. 18.1 Закона о персональных данных).
11.4. Настоящая Политика размещается на Сайте вместо ранее опубликованной редакции.
Реквизиты Оператора
Общество с ограниченной ответственностью «Центр Творческих Способностей» (ООО «ЦТС»)
ОГРН 1267800074299, ИНН 7811818872, КПП 781101001
Адрес: 192029, г. Санкт-Петербург, пр-кт Обуховской Обороны, д. 89, корп. Литера Б, пом. 9-Н
Адрес электронной почты для обращений: evraziki@yandex.ru