Политика обработки персональных данных

1.1. Настоящая Политика обработки персональных данных (далее – Политика) разработана Акционерным обществом Центром Автоматизированных технологий торговли «АВАНГАРД», ОГРН 1197746190608 (далее – Оператор) в соответствии и во исполнение требований Федерального закона Российской Федерации «О персональных данных» № 152-ФЗ от 27.07.2006 и иных нормативно-правовых актов Российской Федерации в области обработки и защиты персональных данных.

принципы обработки персональных данных;
правовые основания для обработки персональных данных;
цели обработки персональных данных,
порядок и условия обработки персональных данных;
порядок рассмотрения обращений субъектов персональных данных по вопросам обработки персональных данных;
меры по обеспечению конфиденциальности и безопасности персональных данных;
порядок уведомления и рассмотрения запросов уполномоченного органа по защите прав субъектов персональных данных.
права и обязанности Оператора и субъектов персональных данных.

осуществление обработки персональных данных на законной основе;
недопущение обработки персональных данных, которая несовместима с целями их сбора (получения);
недопущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
обеспечение точности персональных данных, их достаточности и в необходимых случаях актуальности по отношению к целям их обработки;
хранение персональных данных в форме, которая позволяет определить субъект персональных данных, не дольше, чем этого требуют цели их обработки, если иной срок хранения персональных данных не установлен действующим законодательством РФ, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных;
уничтожение персональных данных по достижении целей их обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено действующим законодательством РФ.
обеспечение соответствия содержания и объема обрабатываемых персональных данных заявленным целям обработки;

Гражданским кодексом Российской Федерации;
Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных»;
Трудовым кодексом Российской Федерации;
другими применимыми федеральными законами Российской Федерации и принятыми нормативно-правовыми актами Российской Федерации;
Уставом Оператора;
Согласием субъектов персональных данных;
Договорами, стороной которых либо выгодоприобретателем или поручителем по которым являются субъекты персональных данных.

- связи с пользователем, в том числе, направление уведомлений, запросов, информации, касающихся использования Сайта, его сервисов и ресурсов, а также исполнения, изменения, расторжения соглашений и договоров, заключенных с пользователем, обработка запросов и заявок от пользователя;

5.2. В зависимости от конкретных целей обработки персональных данных такая обработка может включать в себя следующее: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение персональных данных.

5.4. Сроки обработки и хранения персональных данных для каждой указанной в Политике цели обработки персональных данных устанавливаются с учетом соблюдения требований, определенных законодательством РФ, и/или с учетом положений договора, стороной, выгодоприобретателем или поручителем по которому выступает субъект персональных данных, и/или согласия субъекта персональных данных на обработку его персональных данных.

отзыва субъектом персональных данных согласия на обработку персональных данных;
достижения цели обработки персональных данных;
истечение срока обработки персональных данных, указанного в согласии на обработку персональных данных;
законного требования (решения) уполномоченного органа по защите прав субъектов персональных данных;
реорганизации или ликвидации Оператора.

6.1.3. Сбор и обработка персональных данных субъекта персональных данных в целях продвижения товаров, работ, услуг Оператора и иных третьих лиц путем осуществления прямых контактов с субъектом персональных данных осуществляется только при условии получения на это предварительного согласия.

6.1.4. Если в соответствии с законодательством РФ предоставление персональных данных и/или получение Оператором согласия на обработку персональных данных является обязательным, Оператор разъясняет субъекту персональных данных юридические последствия отказа предоставить его персональные данные и/или дать согласие на их обработку.

если субъект уведомлен об осуществлении обработки его персональных данных;
если персональные данные получены Оператором на основании федерального закона или в связи с исполнением договора, стороной либо выгодоприобретателем или поручителем которого является субъект персональных данных;
если обработка персональных данных, разрешенных субъектом персональных данных для распространения, осуществляется с соблюдением запретов и условий, предусмотренных ФЗ «О персональных данных»;
если Оператор осуществляет обработку персональных данных для статистических или иных исследовательских целей, для осуществления научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта персональных данных;
если предоставление субъекту персональных данных сведений, перечисленных в п. 6.1.5. Политики нарушает права и законные интересы третьих лиц.

6.2.1. Передача (предоставление, доступ) персональных данных органам государственной власти, дознания и следствия, местного самоуправления, иным уполномоченным органам, а также получение Оператором персональных данных от таких органов допускается в случаях и на основаниях, предусмотренных законодательством РФ.

6.2.3. Передача (предоставление, доступ) персональных данных третьему лицу, а также поручение обработки персональных данных такому лицу осуществляется только при наличии согласия субъекта персональных данных. В согласии субъекта персональных данных указываются сведения о третьем лице (третьих лицах), а также цель передачи.

6.2.4. При передаче персональных данных третьим лицам, которые на основании договоров получают доступ или осуществляют обработку персональных данных, Оператор ограничивает информацию только теми персональными данными, которые необходимы для выполнения указанными лицами их функций (услуг, работ).

6.2.5. Поручение обработки персональных данных третьему лицу осуществляется на основании заключаемого с таким третьим лицом договора (поручения), существенными условиями которого являются соблюдение третьим лицом конфиденциальности и обеспечение безопасности персональных данных.

6.3.2. Согласие на обработку персональных данных, разрешенных для распространения (далее – согласие на распространение персональных данных), может быть предоставлено Оператору непосредственно субъектом персональных данных либо с использованием информационной системы уполномоченного органа по защите прав субъектов персональных данных.

6.4.1. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта персональных данных, не дольше, чем это требуют цели обработки, если иной срок хранения персональных данных не установлен законодательством РФ либо договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.

6.4.3. Документы на бумажных носителях, резервные копии баз данных информационных систем хранятся в специально выделенных помещениях Оператора (провайдера сервисов хранения данных, с которым Оператором заключен договор на оказание услуг), доступ к которым предоставляется работникам Оператора (провайдера сервисов хранения данных) в соответствии с их должностными обязанностями.

обращения субъекта персональных данных или его представителя, обладающего соответствующими полномочиями, а также сведений, полученных от уполномоченного органа по защите прав субъектов персональных данных и подтверждающих факт неточности персональных данных;
установления Оператором расхождения между ранее полученными персональными данными и сведениями, предоставляемыми субъектом персональных данных, его представителем, обладающим соответствующими полномочиями, или уполномоченным органом по защите прав субъектов персональных данных наряду с подтверждающими документами.

6.6.1. В случае обращения субъекта персональных данных с требованием прекратить обработку его персональных данных в целях продвижения товаров, работ, услуг на рынке путем осуществления прямых контактов с субъектом персональных данных, Оператор незамедлительно прекращает такую обработку.

6.6.2. В случае выявления неправомерной обработки персональных данных при обращении (запросе) субъекта персональных данных или его представителя, либо запроса уполномоченного органа по защите прав субъектов персональных данных, Оператор в срок, не превышающий 3 (Трех) рабочих дней с момента такого выявления, прекращает неправомерную обработку персональных данных и в срок, не превышающий 10 (Десяти) рабочих дней с момента выявления неправомерной обработки персональных данных, уничтожает такие персональные данные.

6.6.3. В случае отзыва субъектом персональных данных согласия на обработку его персональных данных Оператор прекращает такую обработку и в случае, если сохранение персональных данных более не требуется для целей обработки, уничтожает персональные данные в срок, не превышающий 30 (Тридцати) дней с момента поступления указанного отзыва, если иное не предусмотрено законодательством Российской Федерации, нормами архивного хранения документов, а также договором, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных, либо иным соглашением между Оператором и субъектом персональных данных.

6.6.4. В случае обращения субъекта персональных данных с требованием о прекращении обработки персональных данных Оператор в срок, не превышающий 10 (Десяти) рабочих дней с даты получения соответствующего требования, прекращает их обработку, за исключением случаев, предусмотренных законодательством РФ.

6.6.6. В случае достижения целей обработки персональных данных, а также по истечении установленных сроков хранения персональных данных Оператор уничтожает обрабатываемые персональные данные в срок, не превышающий 30 (Тридцати) дней с момента достижения целей обработки персональных данных, если иное не предусмотрено договором, стороной, выгодоприобретателем или поручителем по которому является субъект персональных данных, либо иным соглашением между Оператором и субъектом персональных данных или законодательством РФ.

6.6.7. Уничтожение персональных данных Оператором производится посредством осуществления действий, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных (далее – ИСПДн) и/или в результате которых уничтожаются материальные (бумажные) носители персональных данных. По результатам уничтожения формируются документы, предусмотренные действующим законодательством. требованиями Приказа Федеральной службы в сфере связи, информационных технологий и массовых коммуникаций от 28.10.2022 № 179 «Об утверждении Требований к подтверждению уничтожения персональных данных».

Для обеспечения конфиденциальности и безопасности персональных данных, их защиты от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных в соответствии с ФЗ «О персональных данных» Оператором принимаются необходимые правовые, организационные и технические меры или обеспечивается их принятие (если обработка персональных данных осуществляется лицом, действующим по поручению Оператора).

назначен ответственный за организацию обработки персональных данных;
разработаны и утверждены организационно-распорядительные документы, определяющие политику Оператора в отношении обработки и обеспечения безопасности персональных данных;
работники Оператора, допущенные к обработке персональных данных, ознакомлены с положениями законодательства РФ и локальных нормативных актов в отношении обработки и обеспечения безопасности персональных данных;
проводится внутренний контроль соответствия обработки персональных данных требованиям действующего законодательства и локальным актам Оператора;
проведена оценка вреда, который может быть причинен субъектам персональных данных в случае нарушения ФЗ «О персональных данных»;
обеспечен неограниченный доступ к Политике обработки персональных данных;
определены угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
применяются организационные и технические меры по обеспечению безопасности персональных данных, в том числе средства защиты информации, прошедшие в установленном порядке процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации, в случае, когда применение таких средств необходимо для нейтрализации актуальных угроз;
ведется учет машинных носителей персональных данных;
установлен порядок доступа к персональным данным, обрабатываемым в информационных системах персональных данных;
обеспечивается регистрация и учет действий, совершаемых с персональными данными в информационных системах персональных данных;
осуществляется контроль и оценка эффективности применяемых мер обеспечения безопасности персональных данных, обнаружение фактов несанкционированного доступа к персональным данным, а также восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа.
организован режим обеспечения безопасности помещений, в которых размещена информационная система, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих прав доступа в эти помещения;
обеспечивается сохранность носителей персональных данных;
утвержден перечень лиц, доступ которых к персональным данным, обрабатываемых в информационной системе, необходим для выполнения ими трудовых обязанностей;
назначено лицо (работник Оператора), ответственное за обеспечение безопасности персональных данных, обрабатываемых в ИСПДн.

При обработке персональных данных автоматизированным способом Оператор принимает необходимые меры по обеспечению безопасности персональных данных с учетом требований Постановления Правительства Российской Федерации от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных». Обработка персональных данных неавтоматизированном способом осуществляется в порядке, предусмотренном Постановлением Правительства Российской Федерации от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

8.1. Субъект персональных данных вправе обратиться и/или направить запрос по вопросам обработки его персональных данных Оператору через электронную почту info@assorti.ru, а также путем направления почтовой корреспонденции по адресу: 117623, г. Москва, ул. Мелитопольская 2-ая, д. 21, корп. 2, эт. 1, пом. Х, к.1, оф. 72.

8.4. Оператор, получив обращение и/или запрос субъекта персональных данных и убедившись в его законности, предоставляет субъекту персональных данных (представителю), сведения, указанные в запросе, в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе, и/или принимает иные меры в зависимости от специфики (особенностей) обращения и/или запроса.

Установленный законодательством РФ срок ответа субъекту персональных данных на обращение и/или запрос о предоставлении информации, касающейся обработки его персональных данных, может быть продлен на основании установленных ФЗ «О персональных данных» ограничений с направлением в адрес субъекта персональных данных мотивированного уведомления, содержащего сведения о причинах продления срока предоставления запрашиваемой информации.

8.6. Оператор вправе отказать субъекту персональных данных в удовлетворении требований, указанных в обращении и/или запросе, путем направления субъекту персональных данных или его представителю мотивированного отказа, если у Оператора в соответствии с законодательством РФ имеются такие основания.

9.1. Оператор рассматривает запросы уполномоченного органа по защите прав субъектов персональных данных, поступившие на адрес электронной почты info@assorti.ru, почтовый адрес: 117623, г. Москва, ул. Мелитопольская 2-ая, д. 21, корп. 2, эт. 1, пом. Х, к.1, оф. 72, а также посредством иных каналов связи, использование которых предусмотрено законодательством РФ для направления таких запросов.

9.2. Оператор сообщает по запросу уполномоченного органа по защите прав субъектов персональных данных необходимую информацию в течение 10 (Десяти) рабочих дней с момента получения такого запроса. Указанный срок может быть продлен, но не более чем на 5 (Пять) рабочих дней в случае направления Оператором в адрес уполномоченного органа по защите прав субъектов персональных данных мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

9.4. В случае изменений сведений об обработке персональных данных и до начала трансграничной передачи персональных данных Оператор уведомляет об этом уполномоченный орган по защите прав субъектов персональных данных в порядке и сроки, предусмотренные ФЗ «О персональных данных».

9.5. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав субъектов персональных данных, оператор с момента выявления такого инцидента, уведомляет уполномоченный орган по защите прав субъектов персональных данных:

в течение 24 (Двадцати четырех) часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов персональных данных, и предполагаемом вреде, нанесенном правам субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов персональных данных, по вопросам, связанным с выявленным инцидентом;
в течение 72 (Семидесяти двух) часов о результатах внутреннего расследования выявленного инцидента, а также о лицах, действия которых стали причиной выявленного инцидента (при наличии).

предоставить лицу, ответственному за организацию обработки персональных данных, сведения в соответствии с ФЗ «О персональных данных»;
при обработке персональных данных соблюдать требования законодательства РФ в отношении обработки и защиты персональных данных;
при обработке персональных данных работников Оператора соблюдать требования к обработке и защите таких персональных данных, предусмотренных трудовым законодательством РФ;
опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему политику Оператора в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети;
при сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных субъектов персональных данных (граждан РФ) с использованием баз данных, находящихся на территории РФ, за исключением случаев, предусмотренных действующим законодательством РФ;
в случае, если предоставление персональных данных и/или согласия на их обработку является обязательным в соответствии с требованиями законодательства РФ и субъект персональных данных отказывается предоставить персональные данные и/или предоставить согласие на их обработку, разъяснить юридические последствия непредоставления персональных данных и/или согласия на их обработку;
выполнять обязанности, предусмотренные для Операторов персональных данных, при получении запросов и/или обращений по вопросам персональных данных от субъекта персональных данных и/или его Представителя (обладающего полномочиями на представление интересов субъекта персональных данных), и/или от надзорного органа;
в случае принятия Оператором решения на основании исключительно автоматизированной обработки персональных данных субъекта персональных данных разъяснить ему порядок принятия решения и возможные юридические последствия такого решения, предоставить возможность заявить возражение против такого решения;
в случае получения персональных данных не от субъекта персональных данных до начала обработки персональных данных предоставить субъекту персональных данных информацию, предусмотренную ФЗ «О персональных данных», с учетом установленных исключений;
принимать меры, направленные на обеспечение выполнения требований ФЗ «О персональных данных»;
принимать меры по обеспечению безопасности персональных данных при их обработке;
взаимодействовать с надзорным органом по вопросам, связанным с обработкой и защитой персональных данных, в случаях, предусмотренных ФЗ «О персональных данных»;
выполнять обязанности по устранению нарушений Законодательства РФ, если такие нарушения были допущены при обработке персональных данных, а также выполнять обязанности по уточнению, блокированию, уничтожению персональных данных в случаях, предусмотренных Законодательством РФ;
выполнять обязанности, установленные ФЗ «О персональных данных» для Операторов персональных данных, в случае получения от субъекта персональных данных требования о прекращении обработки персональных данных и/или отзыва согласия на обработку персональных данных;
выполнять иные обязанности, предусмотренные законодательством РФ.

обрабатывать персональные данные субъектов персональных данных в отсутствие согласия на обработку персональных данных в случаях, предусмотренных ФЗ «О персональных данных»;
осуществлять передачу персональных данных субъектов персональных данных третьим лицам/партнерам, государственным органам, муниципальным органам власти, государственным учреждениям, государственным внебюджетным фондам, иным лицам (если применимо), а также поручить обработку персональных данных субъектов персональных данных третьим лицам/партнерам, иным лицам при наличии соответствующих правовых оснований и соблюдении требований ФЗ «О персональных данных»;
отказать субъекту персональных данных в предоставлении сведений об обработке его персональных данных в случаях, предусмотренных ФЗ «О персональных данных»;
самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных ФЗ «О персональных данных» и принятыми в соответствии с ним нормативно-правовыми актами, если иное не предусмотрено законодательством РФ;
самостоятельно, с учетом требований ФЗ «О персональных данных», определять перечень необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных на основании проведенной оценки актуальных угроз безопасности персональных данных, а также определять порядок реализации указанных мер и проводить оценку эффективности принимаемых мер;
реализовывать иные права, предусмотренные законодательством РФ.

свободно, своей волей и в своем интересе предоставлять согласие на обработку персональных данных с учетом требований ФЗ «О персональных данных» к форме и содержанию согласий на обработку персональных данных;
направлять запросы и/или обращения, в том числе повторные, и получать информацию по вопросам обработки персональных данных, принадлежащих субъекту персональных данных, в порядке, форме, объеме и в сроки, установленные законодательством РФ;
требовать от Оператора уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать иные меры по защите своих прав, предусмотренные законодательством РФ;
обратиться с требованием к Оператору прекратить обработку своих персональных данных, а также отозвать предоставленное согласие на обработку персональных данных;
обжаловать действия или бездействия Оператора в уполномоченный орган по правам субъектов персональных данных или в судебном порядке;
осуществлять иные права, предусмотренные Законодательством РФ.

11.4. Работники Оператора несут ответственность за несоблюдение требований к обработке и защите персональных данных, в том числе за разглашение или незаконное использование персональных данных, в порядке и при наступлении условий, предусмотренных Трудовым кодексом Российской Федерации, а также могут быть привлечены к гражданско-правовой, административной и уголовной ответственности в порядке, предусмотренном применимыми нормативно-правовыми актами РФ.