Политика конфиденциальности сайта 3007.ru
1. Общие положения
Настоящая Политика конфиденциальности (далее – Политика) разработана в соответствии с требованиями законодательства Российской Федерации, включая Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», Гражданский кодекс РФ, и другие нормативные акты, регулирующие обработку и защиту персональных данных. Политика определяет порядок обработки персональных данных и меры по их защите, принимаемые Администрацией сайта 3007.ru (далее – Оператор). Оператор ставит своей задачей защиту прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиту права на неприкосновенность частной жизни, личную и семейную тайну. Политика распространяется на всю информацию о Пользователях, которую Оператор может получить при использовании веб-сайта 3007.ru и связанных с ним сервисов. Это включает данные, собираемые непосредственно на сайте, через формы обратной связи, с помощью ботов и интеграций (например, в мессенджерах Telegram и др.), через API сторонних сервисов, а также посредством файлов cookie и иных технологий. Использование сайта 3007.ru Пользователем означает полное согласие с настоящей Политикой и указанными в ней условиями обработки персональных данных. В случае несогласия (полного или частичного) с условиями Политики Пользователь должен прекратить использование сайта. В тексте Политики используются следующие основные понятия:- Персональные данные – любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (Пользователю). В рамках настоящей Политики к персональным данным относятся, в частности, сведения, перечисленные в разделе 3 Политики (ФИО, контакты и др.), а также иные данные, указанные Пользователем или автоматически собираемые при пользовании Сайтом.
- Обработка персональных данных – любое действие (операция) или совокупность действий, совершаемых с персональными данными с использованием средств автоматизации или без таковых, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение персональных данных.
- Оператор персональных данных – администрация сайта 3007.ru, самостоятельно или совместно с другими лицами организующая и осуществляющая обработку персональных данных, а также определяющая цели обработки персональных данных, состав обрабатываемых данных и действия, совершаемые с данными. В настоящей Политике Оператором выступает Администрация сайта 3007.ru.
- Пользователь – любое лицо, посещающее сайт 3007.ru либо пользующееся его отдельными сервисами, и предоставляющее свои персональные данные Оператору (например, посредством заполнения форм, обращения через бот и т.п.).
- Файлы cookie – небольшие файлы, размещаемые веб-сайтом на устройстве Пользователя через браузер. Они позволяют сохранять данные о действиях и предпочтениях Пользователя. Другие аналогичные технологии (web beacons, пиксели, local storage и др.) также используются для сбора технической и аналитической информации. В Политике все такие технологии упоминаются как «cookie» для простоты.
2. Персональные данные, собираемые и обрабатываемые Оператором
Оператор осуществляет сбор и обработку таких персональных данных Пользователей сайта 3007.ru:- Фамилия, имя, отчество Пользователя;
- Адрес электронной почты (e-mail);
- Номер контактного телефона;
- Иные реквизиты для связи, которые Пользователь указывает по своему усмотрению (например, адрес аккаунта в мессенджере, ссылка на профиль соцсети);
- IP-адрес и другие данные сетевых идентификаторов (например, информация из HTTP-заголовков);
- Файлы cookie и аналогичные идентификаторы;
- Данные о геолокации Пользователя (например, на основе IP-адреса или GPS с согласия Пользователя);
- Техническая информация об устройстве и браузере Пользователя (тип и версия браузера, операционная система, модель устройства, разрешение экрана и пр.);
- Данные о действиях Пользователя на сайте (история посещений, просматриваемые страницы, клики, заполнение форм и иная информация о поведении на сайте);
- Информация, получаемая через интегрированные внешние сервисы и боты. Например, если Пользователь взаимодействует с ботом сайта в мессенджере (Telegram и др.) или авторизуется через сторонний сервис (Google, VK, иные OAuth-провайдеры), Оператор получает от этих сервисов данные о Пользователе (в объеме, разрешенном Пользователем: например, имя, электронная почта, ID аккаунта и т.п.);
- Иные сведения, которые Пользователь добровольно предоставляет о себе по запросу Оператора (например, через поля ввода в формах обратной связи или при общении с поддержкой).
3. Цели обработки персональных данных
Оператор обрабатывает персональные данные Пользователей строго в определенных законных целях[12]. Основные цели обработки следующие:- Предоставление услуг и контента Пользователю. Обеспечение корректной работы сайта и его функций для конкретного Пользователя, в том числе отображение персонализированного контента, сохранение настроек и сессий, предоставление доступа к сервисам сайта (включая учетную запись, если таковая имеется).
- Обработка запросов и обратная связь с Пользователем. Обработка направленных Пользователем запросов (через формы обратной связи, электронную почту, чат-бот и пр.), связь с Пользователем для предоставления информации, разъяснений по его обращениям, ответов на вопросы, технической поддержки и иных коммуникаций по запросу Пользователя.
- Исполнение договоров и иных обязательств. Заключение и исполнение договоров с Пользователем (если Пользователь, например, оформляет заказ, регистрируется на мероприятие и т.д.), а также осуществление расчетов и платежей, доставка товаров или предоставление услуг, выполнение иных обязательств Оператора перед Пользователем в рамках заключенных с ним соглашений.
- Направление уведомлений и рассылок. Информирование Пользователей о новых материалах, сервисах или акциях сайта 3007.ru, рассылка новостей и иных сведений рекламно-информационного характера посредством электронной почты или иных каналов связи. Такие рассылки осуществляются только при наличии согласия Пользователя (например, при подписке на новости) и в соответствии с требованиями законодательства о рекламе. Пользователь вправе в любой момент отказаться от получения рассылки, сообщив об этом Оператору удобным способом (через ссылку отписки в письме, либо направив запрос на email Оператора).
- Улучшение работы сайта, анализ и статистика. Анализ поведения и активности Пользователей на сайте с помощью систем аналитики (Яндекс.Метрика, Google Analytics и аналогичных) с целью улучшения качества сайта, его удобства, наполнения и контента. Эти данные используются в обобщенном обезличенном виде для статистических и маркетинговых исследований, что позволяет Оператору лучше понять потребности Пользователей и оптимизировать работу сервиса.
- Обеспечение безопасности и предотвращение нарушений. Контроль соблюдения Пользователями требований Пользовательского соглашения (если таковое имеется) и настоящей Политики, предотвращение мошенничества, хакерских атак и иных несанкционированных действий на сайте. В этих целях Оператор может использовать технические журналы (лог-файлы) веб-сервера, файлы cookie, а также инструменты капчи и анти-спам-фильтры (например, сервисы типа Yandex SmartCaptcha и пр.) для фильтрации автоматических запросов. Обработка данных для обеспечения безопасности производится в объеме, необходимом для выявления и пресечения попыток неправомерного доступа или иных противоправных действий.
- Выполнение требований законодательства. Оператор может обрабатывать и хранить персональные данные в целях выполнения возложенных на него законом обязанностей. Например, для исполнения требований бухгалтерского и налогового учета, для предоставления отчетности по запросам государственных органов, исполнения судебных актов, а также в иных случаях, предусмотренных законодательством РФ. Обработка персональных данных в таких случаях осуществляется строго в пределах, необходимых для соблюдения соответствующих правовых обязательств.
4. Правовые основания обработки
Обработка персональных данных Пользователей сайта 3007.ru осуществляется на законных основаниях, предусмотренных законодательством РФ. В различных случаях такими основаниями являются:- Согласие субъекта персональных данных. Оператор обрабатывает персональные данные, предоставленные Пользователем добровольно, с согласия Пользователя на их обработку. Согласие может быть выражено Пользователем при проставлении отметки (флага) в соответствующей форме на сайте, при нажатии кнопки отправки данных, при активации команды /start в чат-боте, путем подписки на рассылку, либо иным однозначным подтверждающим действием, свидетельствующим о волеизъявлении предоставить данные для обработки. В отношении файлов cookie согласие Пользователя выражается через настройки его браузера: разрешение приема cookie рассматривается как согласие на соответствующую обработку обезличенных данных. Пользователь, предоставляя свои данные, тем самым принимает настоящую Политику (см. разд. 1) и дает согласие на обработку своих персональных данных в соответствии с ее условиями.
- Исполнение договора с Пользователем. В случаях, когда обработка персональных данных необходима для заключения или исполнения договора, стороной которого является Пользователь (например, Пользователь заказал услугу, зарегистрировался на мероприятие, оформил подписку на платный контент и т.п.), такая обработка осуществляется на основании пп.2 п.2 ст.6 Федерального закона № 152-ФЗ – она необходима для достижения целей договора либо для исполнения указанных в нем обязанностей. Отдельного согласия Пользователя на обработку в таком случае не требуется, поскольку сами данные предоставляются для заключения и исполнения договора.
- Выполнение требований закона. Обработка персональных данных осуществляется на основании требований российского законодательства, когда это необходимо для выполнения обязанностей Оператора, установленных законом. Например, в соответствии с п.6 ч.1 ст.6 Федерального закона № 152-ФЗ, Оператор вправе обрабатывать персональные данные без согласия, если это необходимо для исполнения возложенных законом функций, полномочий и обязанностей (к примеру, ведение бухгалтерского учета, хранение данных о транзакциях в срок, установленный законодательством о налогах, и т.п.). Также Оператор может предоставить персональные данные без согласия субъекта по основанию п.8 ч.1 ст.6 ФЗ-152 – для осуществления прав и законных интересов Оператора или третьих лиц, при условии, что при этом не нарушаются права и свободы субъекта персональных данных (например, для защиты своих прав в суде, для взыскания задолженностей и пр.).
- Иные основания, предусмотренные законодательством. Оператор вправе осуществлять обработку персональных данных и в других случаях, прямо предусмотренных ФЗ-152 или другими федеральными законами. Например, если персональные данные сделаны общедоступными самим Пользователем (ст.6 ч.1 п.10 ФЗ-152), Оператор вправе обрабатывать их без согласия в пределах общедоступности. Также допускается обработка без согласия для защиты жизни, здоровья или иных жизненно важных интересов субъекта или иных лиц, когда получение согласия невозможно (ст.6 ч.1 п.4 ФЗ-152), и в иных ситуациях, предусмотренных законом.
5. Порядок сбора, хранения и защиты персональных данных
5.1. Методы получения данных. Сбор персональных данных Пользователя осуществляется следующими способами: — непосредственное предоставление данных самим Пользователем (через формы на сайте, при общении с поддержкой, через сообщения боту и т.д.); — автоматическое получение технических данных при посещении сайта (таких как IP-адрес, cookie, характеристики браузера и устройства, время доступа, запрашиваемые страницы — эти данные передаются браузером Пользователя автоматически при посещении); — получение данных от третьих лиц с согласия Пользователя (например, от сервисов авторизации при входе через социальные сети или от партнерских сервисов, если Пользователь зарегистрировался у партнера и дал согласие на передачу своих данных Оператору).5.2. Обработка и хранение. Обработка персональных данных Пользователей осуществляется как с использованием средств автоматизации (в информационных системах Оператора), так и без использования таких средств (на бумажных носителях в случае необходимости). Оператор может поручать обработку персональных данных другим лицам на основании заключенного с ними договора, при условии соблюдения требований статьи 6 и 6.1 ФЗ-152 о конфиденциальности и безопасности персональных данных при поручении их обработки третьим лицам. Персональные данные хранятся в электронных базах данных на защищенных серверах. В соответствии с требованиями законодательства о локализации баз данных, персональные данные граждан Российской Федерации хранятся на территории Российской Федерации. Оператор обеспечивает раздельное хранение персональных данных и их обезличенных (неидентифицирующих) частей (например, хранение данных в обезличенном виде там, где это возможно и достаточно для достижения целей обработки).
5.3. Меры безопасности. Безопасность персональных данных при их обработке обеспечивается реализацией необходимых и достаточных правовых, организационных и технических мер, предусмотренных законодательством РФ. Оператор принимает меры по защите персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных незаконных действий в отношении персональных данных. Для этого применяются современные методы защиты информации, в том числе: — разграничение и контроль доступа сотрудников к персональным данным (доступ только тех работников, которым это необходимо для исполнения служебных обязанностей); — использование шифрования при передаче данных через интернет (протокол HTTPS/SSL); — антивирусная защита, регулярное обновление программного обеспечения серверов и рабочих станций; — резервное копирование данных и хранение резервных копий в защищенном хранилище; — мониторинг действий с персональными данными и ведение журналов доступа; — обучение сотрудников Оператора, имеющих доступ к персональным данным, правилам обращения с такими данными и мерам информационной безопасности; — иные необходимые меры, направленные на обеспечение конфиденциальности и целостности персональных данных. Оператор обеспечивает конфиденциальность обрабатываемых персональных данных. Без достаточных правовых оснований персональные данные не раскрываются и не предоставляются кем-либо третьим. Внутренние регламенты Оператора препятствуют разглашению данных сотрудниками, которые с ними работают; все такие сотрудники связаны обязательствами о неразглашении. Персональные данные в публичном доступе не размещаются, за исключением случаев, когда Пользователь сам явно выразил согласие на публикацию определенной информации о себе.
5.4. Сроки хранения и уничтожение данных. Оператор хранит персональные данные Пользователя не дольше, чем этого требуют цели их обработки, либо иные разрешенные законом сроки. Персональные данные, собранные с согласия Пользователя, обрабатываются до тех пор, пока не достигнута соответствующая цель их обработки (например, пока Пользователь пользуется услугами Оператора или подписан на рассылку), либо до момента отзыва согласия, если таковой наступит раньше. По достижении целей обработки или при отзыве согласия субъекта данные подлежат удалению или обезличиванию, за исключением случаев, когда Оператор обязан по закону сохранить соответствующие сведения в течение определенного срока. Например, данные о совершенных сделках могут храниться не менее установленного срока хранения бухгалтерских документов, даже если субъект потребует их удаления ранее, поскольку закон (например, налоговое или бухгалтерское законодательство) предписывает их хранение.
После истечения срока хранения персональные данные уничтожаются таким образом, чтобы исключить возможность их дальнейшего восстановления. Уничтожение электронных данных производится путем их надежного удаления из систем (wipe/erase), уничтожение бумажных носителей – путем их физического уничтожения (шредирования) либо иного приведения в непригодное для чтения состояние. Оператор обязан по запросу Пользователя предоставить информацию о том, были ли его персональные данные удалены или обезличены. При удалении или обезличивании данных по запросу субъекта Оператор, согласно ст. 20 ФЗ-152, уведомляет субъекта о произведенных действиях и прилагает разумные усилия для уведомления третьих лиц, которым ранее эти данные могли быть переданы.
6. Передача персональных данных третьим лицам
6.1. Условия передачи. Оператор не раскрывает и не передает персональные данные третьим лицам без оснований. Передача персональных данных третьим лицам осуществляется только в следующих случаях:- Пользователь дал согласие на передачу своих данных конкретному третьему лицу или неопределенному кругу лиц. Согласие может быть выражено как непосредственно Оператору, так и соответствующему третьему лицу (например, когда Пользователь авторизуется на сайте через внешний сервис, он тем самым соглашается, что указанные им данные будут переданы Оператору данного сайта).
- Передача необходима для исполнения договора с Пользователем. В частности, если для предоставления услуги или товара необходимо привлечь третью сторону, которая выполнит часть обязательств (например, курьерскую службу для доставки, платежную систему для обработки платежа, сервис рассылки для отправки письма), Оператор вправе передать соответствующие данные такой стороне в пределах, необходимых для исполнения договора.
- По требованию закона или уполномоченных органов. Оператор вправе или обязан предоставить персональные данные третьим лицам, если этого требуют применимые законы РФ или официальные запросы уполномоченных государственных органов (например, судов, правоохранительных органов, Роскомнадзора и др.)[30]. В таком случае передача производится в порядке и обьеме, которые предусмотрены законом.
- Иные предусмотренные законом случаи. Например, в случае реорганизации Оператора (слияния, поглощения и т.п.) персональные данные могут быть переданы правопреемнику в соответствии с требованиями законодательства. Либо при ликвидации Оператор передает данные в архивный государственный фонд, если это предписано законом. Во всех таких случаях получатели данных обязаны соблюдать положения законодательства о персональных данных.
- Хостинг-провайдеры и центры обработки данных. Компании, предоставляющие услуги размещения сайта и его баз данных на своих серверах, а также CDN (сети доставки контента). Они получают доступ к персональным данным постольку, поскольку данные хранятся на их оборудовании, и обрабатывают их исключительно для обеспечения функционирования инфраструктуры сайта.
- Системы аналитики веб-сайта. Сторонние сервисы, собирающие обезличенную статистику о посещениях сайта – такие как Яндекс.Метрика, Google Analytics и им подобные. Они получают технические данные (IP-адреса, cookie и др.) и информацию о действиях Пользователей на сайте для составления отчетов и анализа трафика. Эти сервисы действуют в соответствии со своими пользовательскими соглашениями и политиками конфиденциальности, однако Оператор заключает с ними необходимые соглашения либо принимает меры, обеспечивающие обезличивание данных, чтобы такая передача соответствовала требованиям закона. Пользователь может запретить передачу данных в системы аналитики, отключив JavaScript и файлы cookie в своем браузере, однако это может привести к ухудшению работы некоторых функций сайта.
- Платежные системы. В случаях, когда на сайте реализована платная услуга или прием платежей, к обработке подключаются платежные агрегаторы либо банковские платежные шлюзы (например, Яндекс.Касса/ЮKassa, RoboKassa, PayPal, банковские эквайеры и т.п.). Они получают такие данные, как имя и фамилия плательщика, номер телефона или email (для отправки уведомлений), платежные реквизиты (номер карты, сумма платежа и др.) – в объеме, необходимом для проведения оплаты и подтверждения платежа. Эти организации самостоятельно отвечают за обработку финансовых данных (например, номеров банковских карт) и не передают их Оператору сайта, получая от него только идентификаторы заказа и сумму к оплате.
- Сервисы авторизации и социальные сети. Если Пользователь выбирает вход на сайт 3007.ru через сторонние сервисы (такие как аккаунт Google, Apple ID, аккаунты ВКонтакте, Facebook, Telegram Passport и др.), соответствующие провайдеры аутентификации передают Оператору определенные сведения из профиля Пользователя (например, имя, адрес эл.почты, ID аккаунта, аватар) после того, как сам Пользователь разрешит такой обмен данных при авторизации. Оператор использует эти данные для упрощения процедуры регистрации/входа Пользователя на сайт и исполнении предоставляемых через сайт услуг. Пароли от учетных записей третьих лиц Оператору не сообщаются.
- Сервисы рассылок и почтовые службы. Сторонние платформы, через которые Оператор может осуществлять массовую отправку электронных сообщений Пользователям (например, MailChimp, SendPulse, UniSender и аналогичные сервисы e-mail-рассылок). Им могут быть переданы адреса электронной почты Пользователей и содержание отправляемых писем (например, новости, уведомления) для технической реализации рассылки. Такие сервисы действуют по поручению Оператора и не используют предоставленные email-адреса для собственных целей.
- CRM-системы и системы управления обращениями. Оператор может использовать сторонние облачные системы класса CRM (управление взаимоотношениями с клиентами) или help-desk для учета заявок Пользователей, истории взаимодействия с ними, хранения переписки и пр. Примерами таких систем являются Bitrix24, amoCRM, Zendesk и др. В них могут храниться контактные данные Пользователей и сведения об обращениях. Доступ к таким системам защищен, и провайдеры этих услуг по договору с Оператором обязаны соблюдать конфиденциальность данных.
- Мессенджеры и чат-бот платформы. Если взаимодействие с Пользователем происходит через чат-бот в мессенджере (например, Telegram), часть данных (идентификатор пользователя в мессенджере, данные профиля и сами сообщения) обрабатываются инфраструктурой соответствующего мессенджера и передаются Оператору. Компания – владелец мессенджера (например, Telegram Messenger Inc.) выступает в роли третьей стороны, получающей персональные данные, и действует согласно собственной политике конфиденциальности. Оператор со своей стороны обеспечивает, чтобы обмен данными с ботом происходил по защищенным каналам (например, использует официальное API) и минимизирует передачу избыточных данных через такие сервисы.
7. Права Пользователя (субъекта персональных данных)
Пользователь, являющийся субъектом персональных данных, в отношении своих данных имеет все права, предоставленные ему законодательством РФ, включая Федеральный закон № 152-ФЗ. Оператор уважает эти права и обеспечивает возможность их реализации. Права субъекта персональных данных включают, в частности, следующие возможности:- Право на получение информации об обработке. Пользователь вправе запросить у Оператора информацию, касающуюся обработки его персональных данных: подтверждение факта обработки, перечень обрабатываемых данных, цели, источники получения, сроки обработки, сведения о произведенных или предполагаемых действиях с данными, в том числе о передаче третьим лицам. По запросу субъекта Оператор обязан предоставить такие сведения в понятной форме в срок, установленный законом (не позднее 30 дней с даты получения запроса, если не требуется более срочно). Предоставление информации производится бесплатно, если иное не предусмотрено законом.
- Право на уточнение (обновление, исправление) персональных данных. Если Пользователь обнаружил, что его персональные данные, находящиеся у Оператора, являются неполными, неточными или неактуальными, он вправе потребовать внесения необходимых изменений или дополнений. Оператор обязан внести правки в данные в срок, не превышающий 7 рабочих дней со дня предоставления Пользователем подтверждающих документов или иных сведений, обосновывающих необходимость исправления. Пользователь также может самостоятельно актуализировать некоторые данные, обратившись к Оператору (например, направив email с пометкой «Актуализация данных»).
- Право на отзыв согласия. Если обработка персональных данных осуществляется на основании ранее данного согласия Пользователя, Пользователь имеет право в любой момент отозвать свое согласие на обработку персональных данных, уведомив об этом Оператора. Отзыв согласия не имеет обратной силы и не затрагивает законность обработки, осуществленной до отзыва. После получения отзыва Оператор прекращает обработку соответствующих данных, за исключением случаев, когда обработка может продолжаться на иных законных основаниях (например, по требованию закона или в связи с необходимостью защиты прав Оператора). Пользователь понимает, что в случае отзыва согласия на обработку данных, необходимых для предоставления сервиса, Оператор может оказаться не в состоянии продолжать оказание такого сервиса.
- Право на блокирование и уничтожение данных. В предусмотренных законом случаях Пользователь имеет право потребовать временной приостановки обработки своих персональных данных (блокирования) либо полного уничтожения данных. Такое требование может быть заявлено, например, если Пользователь считает, что Оператор обрабатывает данные незаконно или данные более не нужны для целей обработки. Оператор при наличии законных оснований обязан удовлетворить требование: при незаконной или лишней информации – уничтожить данные в срок не более 7 рабочих дней после подтверждения этого факта, либо заблокировать обработку (кроме хранения) с момента поступления запроса до момента проверки. Факт уничтожения персональных данных подтверждается актом об уничтожении.
- Право на возражение против обработки. В случаях, предусмотренных ст. 16 ФЗ-152, Пользователь может возражать против принятия Оператором решений, порождающих для Пользователя юридические последствия, основанных исключительно на автоматизированной обработке его данных. Также, если Оператор обрабатывает данные на основании п.8 ч.1 ст.6 (в интересах Оператора или третьих лиц), Пользователь вправе заявить мотивированное возражение против такой обработки. Оператор в случае получения возражения обязан прекратить обработку, либо обосновать законные основания, по которым обработка может продолжаться, в течение 30 дней с момента получения возражения (ст. 16 ФЗ-152).
- Право на обращение в уполномоченные органы и судебную защиту. Если Пользователь считает, что Оператор нарушает требования законодательства о персональных данных или его права, он может обратиться с жалобой в федеральный орган по защите прав субъектов персональных данных (Роскомнадзор), либо защитить свои права в судебном порядке. Действия (бездействие) Оператора могут быть обжалованы в порядке, установленном законодательством РФ.
8. Контактные данные Оператора
Оператор персональных данных, ответственный за обработку данных на сайте 3007.ru – Администрация сайта 3007.ru. В отсутствие специально назначенного уполномоченного лица по персональным данным, все вопросы и обращения обрабатываются непосредственно Администрацией. Для связи по вопросам, связанным с персональными данными, Пользователь может использовать следующий контактный адрес:- Электронная почта: 3007@3007.ru
