Политика конфиденциальности

3.1. Цели, правовые основания и сроки Обработки Персональных данных

Оператор осуществляет обработку ПД в следующих целях:

3.1.1. Оператор не осуществляет обработку биометрических ПД.

3.1.2. Оператор не осуществляет намеренно обработку ПД несовершеннолетних лиц. Исполнитель рекомендует пользоваться сайтом лицам, достигшим18 лет. Ответственность за действия несовершеннолетних, включая приобретение ими услуг на Сайте, лежит на законных представителях несовершеннолетних. Все посетители, младше18 лет, обязаны получить разрешение своих законных представителей прежде, чем предоставлять какую-либо персональную информацию о себе. Если Оператору станет известно о том, что он получил персональную информацию о несовершеннолетнем лице без согласия законных представителей, то такая информация будет удалена в возможно короткие сроки.

3.1.3. Оператор не осуществляет проверку наличия особого режима обработки ПД субъекта ПД. Если субъект ПД является гражданином стран Европейского союза или гражданином иных государств, временно или постоянно проживающим на территории стран ЕС и получает доступ к Сайту из стран Европы, Оператор предпринимает все разумные меры обеспечения соблюдения таких требований законодательства о защите ПД. Для этого субъект ПД обязан уведомить Оператора о наличии особого режима защиты его ПД путем обращения по адресу электронной почты Оператора: buh@hydrowell.ru.

3.1.4. Оператор в общем случае не проверяет достоверность персональной информации, предоставляемой субъектами ПД, и не осуществляет контроль за их дееспособностью. Риск предоставления недостоверных ПД, в том числе предоставление данных третьих лиц, как своих собственных, при этом несет сам субъект ПД.

3.1.5. Оператор исходит из того, что:

• (а) Субъект ПД предоставляет достоверную и достаточную персональную информацию в актуальном состоянии;
• (б) Субъект ПД ознакомлен с настоящей Политикой, выражает свое информационное и осознанное согласие с ней.

3.1.6. Сроки обработки ПД определены с учетом:

1. установленных целей обработки ПД;
2. сроков действия договоров с субъектами ПД и/или согласий субъектов ПД на обработку их ПД;
3. сроков, определенных нормативно-правовыми актами Российской Федерации.

3.2. Порядок и условия обработки персональных данных

3.2.2. При Обработке ПД обеспечиваются их точность, достаточность, актуальность по отношению к целям Обработки ПД. Обработка ПД Оператором ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПД, несовместимая с целями сбора ПД. Не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой. Оператор принимает необходимые меры по удалению или уточнению неполных или неточных данных.

3.2.3. Оператор осуществляет Обработку ПД с использованием средств автоматизации и без их использования. При этом Оператор выполняет требования к автоматизированной и неавтоматизированной обработке ПД, предусмотренные Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами.

3.2.4. Оператор поручает Обработку ПД другим лицам. При этом Оператор выполняет все требования к поручению обработки ПД, предусмотренные Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

3.2.5. Оператор не раскрывает третьим лицам и не распространяет ПД, за исключением следующих случаев:

1. Субъект ПД заблаговременно выразил свое согласие на такое раскрытие;
2. Передача необходима для исполнения договора, по которому является субъект ПД, а также для заключения договора по инициативе субъекта ПД;
3. Передача необходима для защиты прав и законных интересов Оператора или третьих лиц;
4. Передача инициирована субъектом ПД;
5. Передача необходима для осуществления правосудия, исполнения судебного акта, акта другого органа или должностного лица, подлежащих исполнению в соответствии с законодательством РФ об исполнительном производстве либо иных предусмотренных действующим законодательством РФ случаях.

3.2.6. В целях обеспечения надлежащего исполнения Оператором своих обязательств перед Пользователем по предоставлению доступа к Услугам.

3.2.7. Передача ПД:

1. Оператор может привлекать третьих лиц к обработке ПД путем поручения третьим лицам обработки ПД и (или) путем передачи ПД третьим лицам без поручения обработки ПД. Оператор не осуществляет трансграничную передачу ПД;
2. Привлечение третьих лиц к обработке ПД может осуществляться только при условии обработки такими лицами ПД в минимально необходимом составе и исключительно для достижения предусмотренных Политикой целей обработки ПД, а также при условии обеспечения такими лицами конфиденциальности и безопасности ПД при их обработке (в случае неисполнения третьими лицами данных условий указанные лица будут нести ответственность на основании своих договорных обязательств перед Оператором и (или) в соответствии с положениями применимого законодательства о ПД).

3.2.8. К вышеуказанным третьим лицам потенциально могут относиться:

1. Лица, обладающие правом в предусмотренных применимым законодательством случаях на получение ПД в составе, необходимом для осуществления и выполнения возложенных на таких лиц функций, полномочий и обязанностей;
2. Контрагенты Оператора, приобретение и использование продукции (товаров, работ, услуг) которых Оператором является необходимым для достижения предусмотренных Политикой целей обработки ПД;
3. Фактический состав привлекаемых Оператором третьих лиц к обработке ПД определяется исходя из сложившихся отношений между Оператором и субъектом ПД, а также в соответствии с положениями применимого законодательства, договоров между Оператором и субъектом ПД, согласия(ий) субъекта ПД на обработку ПД.

Внутри страны, Оператор может передавать персональные данные контрагентов (физических лиц) в объеме и целях, указанных в п.п.8 п.3.1 раздела 3 настоящей Политики следующим третьим лицам:

• Мобильные операторы РФ

3.2.8 (г). Оператор может создавать общедоступные источники ПД и (или) осуществлять распространение ПД только с согласия субъекта ПД или на основании требований применимого законодательства.

3.2.9. Обработка ПД для каждой цели обработки, указанной в настоящей Политике, осуществляется путем:

• получения ПД в устной и письменной форме непосредственно от субъектов ПД;
• внесения ПД в журналы, реестры и информационные системы Оператора;
• использования иных способов обработки ПД.

3.2.10. Передача (распространение, предоставление, доступ) ПД, разрешенных субъектом ПД для распространения, прекращается Оператором в любое время по требованию субъекта ПД.

3.2.11. Оператор принимает необходимые правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения и других неправомерных действий, в том числе:

• определяет угрозы безопасности ПД при их обработке в информационных системах ПД;
• принимает локальные нормативные акты и иные документы, регулирующие отношения в сфере обработки и защиты ПД;
• назначает лиц, ответственных за обработку и обеспечение безопасности ПД в структурных подразделениях и информационных системах Оператора;
• создает необходимые условия для работы с ПД;
• организует учет документов, содержащих ПД;
• организует работу с информационными системами, в которых обрабатываются ПД;
• хранит ПД в условиях, при которых обеспечивается их сохранность и исключается неправомерный доступ к ним;
• организует обучение работников Оператора, осуществляющих обработку ПД.

3.2.12. Оператор осуществляет хранение ПД в форме, позволяющей определить субъекта ПД, не дольше, чем этого требуют цели обработки ПД, если срок хранения ПД не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект ПД.

3.2.13. Срок хранения ПД обусловлен достижением конкретной цели их обработки, моментом отзыва согласия на обработку ПД субъектом ПД, а также требованиями действующего законодательства. Срок хранения ПД, обрабатываемых в информационных системах ПД, соответствует сроку хранения ПД на бумажных носителях.

3.2.14. При осуществлении хранения ПД Оператор использует базы данных, находящиеся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных».

3.2.15. Оператор установил следующие условия прекращения обработки ПД:

1. достижение целей обработки ПД и максимальных сроков хранения ПД;
2. утрата необходимости в достижении целей обработки ПД;
3. предоставление субъектом ПД или его законным представителем сведений, подтверждающих, что ПД являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
4. невозможность обеспечения правомерности обработки ПД;
5. отзыв субъектом ПД согласия на обработку ПД, если сохранение ПД более не требуется для целей обработки ПД;
6. требование субъекта ПД к Оператору о прекращении обработки ПД, за исключением случаев, предусмотренных законодательством;
7. истечение сроков исковой давности для правоотношений, в рамках которых осуществляется либо осуществлялась обработка ПД;
8. ликвидация или реорганизация Оператора.

3.2.16. При обращении субъекта ПД к Оператору с требованием о прекращении обработки ПД в срок, не превышающий десяти рабочих дней с даты получения Оператором соответствующего требования, обработка ПД прекращается, за исключением случаев, предусмотренных Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных». Указанный срок может быть продлен, но не более чем на пять рабочих дней. Для этого Оператору необходимо направить в адрес субъекта ПД мотивированное уведомление с указанием причин продления срока.

3.2.17. При невозможности уничтожения ПД в сроки, определенные Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных», для случаев, когда невозможно обеспечить правомерность обработки ПД, при достижении целей обработки ПД, а также при отзыве субъектом согласия на обработку ПД и (или) получении Оператором требования субъекта ПД о прекращении обработки ПД, если сохранение ПД более не требуется для целей обработки ПД, Оператор осуществляет блокирование ПД и уничтожает их в течение 6 (Шести) месяцев, если иной срок не установлен применимым законодательством.

3.3. Условия и ограничения обработки персональных данных, разрешенных субъектом для распространения

3.3.1. Оператор, с согласия субъекта ПД, осуществляет обработку некоторых категорий ПД. Эти данные разрешены субъектом для распространения и предоставления доступа неограниченному кругу лиц через размещение их на различных платформах и сервисах, включая сайты с доменами и/или поддоменами, Bitrix24,1С, программное обеспечение (ПО) и системы дистанционного обучения (СДО), а также в виджетах, чатах мессенджеров, презентациях, статьях, фотографиях, аудиозаписях и других произведениях. Они также могут использоваться в рекламных целях в Интернете и в официальных группах и аккаунтах в социальных сетях.

3.3.2. ПД размещаются с целью:

1. увеличения лояльности пользователей Сайтов и товаров, работ, услуг Оператора;
2. формирования позитивного отношения пользователей к товарам, работам и услугам Оператора;
3. продвижение товаров, работ и услуг Оператора.

3.3.3. Перечень ПД и наличие/отсутствие ограничений или запретов в их отношении:

3.3.4. Обработка осуществляется в течение срока действия согласия субъекта ПД, разрешенных для распространения.

3.4. Права субъектов Персональных данных

3.4.1. Субъект ПД обладает следующими правами:

3.4.2. Для исполнения положений в подпунктах (1) и (3) пункта3.4.1. Политики Оператор может потребовать подтвердить личность субъекта ПД, потребовав предоставления такого подтверждения в любой не противоречащей закону форме.

3.5. Исполнение обязанностей Оператора

3.5.1. Оператором для обеспечения выполнения обязанностей, предусмотренных Федеральным законом от 27 июля 2006 г. № 152-ФЗ «О персональных данных» и принятыми в соответствии с ним нормативными правовыми актами, приняты следующие меры:

1. назначено лицо, ответственное за организацию обработки ПД;
2. изданы локальные акты по вопросам обработки и обеспечения безопасности ПД, а также локальные акты, устанавливающие процедуры, направленные на предотвращение и выявление нарушений законодательства РФ, устранение последствий таких нарушений: Политика об обработке ПД и информации; другие локальные акты по вопросам обработки и обеспечения безопасности ПД;
3. применены правовые, организационные и технические меры по обеспечению безопасности ПД;
4. осуществляется внутренний контроль соответствия обработки ПД требованиям Закона и принятых в соответствии с ним нормативных правовых актов, Политики об обработке ПД и информации, локальных актов Оператора;
5. проведена оценка вреда, который может быть причинен субъектам ПД в случае нарушения требований федерального законодательства о ПД, произведено соотношение указанного вреда и принимаемых Оператором мер, направленных на обеспечение выполнения обязанностей, предусмотренных требованиями Закона и принятых в соответствии с ним нормативных правовых актов;
6. допущенные Оператором лица, непосредственно осуществляющие обработку ПД, ознакомлены с положениями Закона и принятых в соответствии с ним нормативных правовых актов, Политикой об обработке ПД и информации и локальных актов Оператора по вопросам обработки ПД.

3.5.2. Оператором реализуются следующие меры по обеспечению конфиденциальности и безопасности при Обработке ПД:

1. организован режим обеспечения безопасности помещений, в которых размещены информационные системы, препятствующий возможности неконтролируемого проникновения или пребывания в этих помещениях лиц, не имеющих права доступа в эти помещения;
2. Оператором утвержден документ, определяющий перечень лиц, доступ которых к ПД, обрабатываемым в информационной системе, необходим для выполнения ими договорных обязанностей;
3. используются средства защиты информации, прошедшие процедуру оценки соответствия требованиям законодательства РФ в области обеспечения безопасности информации;
4. реализованы требования, установленные Постановлением Правительства РФ от 15 сентября 2008 г. № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации».

3.6. Порядок прекращения Обработки Персональных данных

3.6.1. Оператор прекращает обработку ПД:

1. по истечении установленных сроков;
2. по достижении целей их обработки либо в случае утраты необходимости в достижении этих целей;
3. по требованию субъекта ПД (в отношении ПД, которые являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки), если обеспечить правомерность обработки ПД невозможно, а также в случае предоставление субъектом ПД или его законным представителем сведений, подтверждающих, что ПД являются незаконно полученными или не являются необходимыми для заявленной цели обработки;
4. в случае отзыва субъектом ПД согласия на обработку его ПД (в отношении ПД, обрабатываемых на основании согласия субъекта);
5. в случае ликвидации или реорганизации Оператора;
6. утрата необходимости в достижении целей обработки ПД;
7. в случае невозможности обеспечения правомерности обработки ПД.

3.6.2. Порядок уничтожения ПД. Уничтожение ПД производится в случаях:

1. неправомерная обработка ПД;
2. ПД являются избыточными для заявленной цели;
3. отзыв согласия на обработку ПД;
4. достижения цели обработки ПД или утраты необходимости в достижении этих целей;
5. истечения сроков хранения ПД, установленных нормативно-правовыми актами Российской Федерации;
6. признания недостоверности ПД или получения их незаконным путем по требованию уполномоченного органа по защите прав субъектов ПД;
7. признания недостоверности ПД по требованию Регулятора.

3.7. Актуализация, исправление, ответы на запросы субъектов на доступ к персональным данным

3.7.1. Оператор в порядке, предусмотренном статьей 14 Федерального закона от 27 июля 2006 г. № 152-ФЗ «О персональных данных», сообщает субъекту ПД или его представителю информацию о наличии ПД, относящихся к соответствующему субъекту ПД, а также предоставляет возможность ознакомления с этими ПД при обращении субъекта ПД или его представителя либо в течение десяти рабочих дней с даты получения запроса субъекта ПД или его представителя. Данный срок может быть продлен, но не более чем на пять рабочих дней в случае направления Оператором в адрес субъекта ПД мотивированного уведомления с указанием причин продления срока предоставления запрашиваемой информации.

3.7.2. Оператор предоставляет безвозмездно субъекту ПД или его представителю возможность ознакомления с ПД, относящимися к этому субъекту ПД. В срок, не превышающий семи рабочих дней со дня предоставления субъектом ПД или его представителем сведений, подтверждающих, что ПД являются неполными, неточными или неактуальными, Оператор вносит в них необходимые изменения. В срок, не превышающий семи рабочих дней со дня представления субъектом ПД или его представителем сведений, подтверждающих, что такие ПД являются незаконно полученными или не являются необходимыми для заявленной цели обработки, Оператор уничтожает такие ПД. Оператор уведомляет субъекта ПД или его представителя о внесенных изменениях и предпринятых мерах и принимает разумные меры для уведомления третьих лиц, которым ПД этого субъекта были переданы.

3.7.3. В случае подтверждения факта неточности ПД Оператор на основании сведений, представленных субъектом ПД или его представителем либо уполномоченным органом по защите прав субъектов ПД, или иных необходимых документов уточняет ПД в течение семи рабочих дней со дня представления таких сведений и снимает блокирование ПД.

3.7.4. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) ПД, повлекшей нарушение прав субъектов ПД, Оператор с момента выявления такого инцидента Оператором, уполномоченным органом по защите прав субъектов ПД или иным заинтересованным лицом уведомляет уполномоченный орган по защите прав субъектов ПД:

• в течение двадцати четырех часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав субъектов ПД, и предполагаемом вреде, нанесенном правам субъектов ПД, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставляет сведения о лице, уполномоченном Оператором на взаимодействие с уполномоченным органом по защите прав субъектов ПД, по вопросам, связанным с выявленным инцидентом;
• в течение семидесяти двух часов о результатах внутреннего расследования выявленного инцидента, а также предоставляет сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).

3.7.5. После истечения срока нормативного хранения документов, содержащих ПД субъекта, или при наступлении иных законных оснований документы подлежат уничтожению.

3.7.6. Оператор для этих целей создает экспертную комиссию и проводит экспертизу ценности документов.

3.7.7. По результатам экспертизы документы, содержащие ПД субъекта и подлежащие уничтожению:

• на бумажном носителе - уничтожаются путем измельчения в шредере;
• в электронном виде - стираются с информационных носителей либо физически уничтожаются сами носители, на которых хранится информация.

3.7.8. Документами, подтверждающими уничтожение ПД субъектов, обрабатываемых Оператором с использованием средств автоматизации, являются акт об уничтожении ПД и выгрузка из журнала регистрации событий в информационной системе ПД.