Политика в отношении обработки персональных данных

Черновик. Документ подготовлен по структуре docs/04-LEGAL-RF.md и проходит проверку юриста ООО «РСЛ АУДИТ»; до утверждения версия помечена «-draft». TODO(legal-review).

1. Общие положения

Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Общество с ограниченной ответственностью «РСЛ АУДИТ» (далее — Оператор).

Политика опубликована на сайте rsl-audit.ru (далее — Сайт) во исполнение части 2 статьи 18.1 152-ФЗ и действует в отношении всех персональных данных, которые Оператор получает через Сайт. Используя формы Сайта, посетитель подтверждает, что ознакомлен с Политикой.

2. Оператор и контакты

• Наименование: Общество с ограниченной ответственностью «РСЛ АУДИТ»
• ИНН 9727135247, КПП 772701001, ОГРН 1267700282475
• Адрес: 117218, г. Москва, вн.тер.г. муниципальный округ Академический, ул. Большая Черёмушкинская, д. 34, помещ. 2/1Н/2
• E-mail для обращений по вопросам персональных данных: office@rsl-audit.ru

Лицо, ответственное за организацию обработки персональных данных, назначается приказом Оператора; сведения о нём предоставляются по запросу на указанный e-mail. TODO(content): указать должность ответственного после назначения.

3. Основные понятия

Термины используются в значениях, установленных статьёй 3 152-ФЗ:

• персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных);
• обработка персональных данных — любое действие с ними: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение;
• оператор — ООО «РСЛ АУДИТ», самостоятельно определяющее цели и содержание обработки.

4. Цели обработки

• обработка обращений, направленных через формы Сайта (консультация, обратный звонок, запрос расчёта, запись на обучение), и связь с обратившимся лицом;
• заключение и исполнение договоров на аудиторские и сопутствующие услуги, консалтинг, абонементное сопровождение и обучение;
• рассмотрение откликов на вакансии и резюме соискателей;
• направление информационных и рекламных материалов — только при отдельном согласии на рассылку;
• ведение обезличенной статистики посещаемости Сайта (Яндекс.Метрика) — только после согласия на аналитические cookie;
• защита форм от автоматических отправок и обеспечение безопасности Сайта.

5. Субъекты и категории персональных данных

• посетители Сайта, направившие обращение: фамилия, имя, отчество; телефон; адрес электронной почты; наименование компании и должность (если указаны); содержание обращения;
• соискатели: сведения из резюме и сопроводительного письма, которые соискатель решил сообщить;
• представители клиентов и контрагентов: контактные данные, необходимые для заключения и исполнения договора;
• технические данные всех посетителей: IP-адрес, сведения о браузере и устройстве, дата и время обращения, файлы cookie — в объёме, описанном в Политике использования файлов cookie.

Оператор не обрабатывает через Сайт специальные категории персональных данных (о здоровье, убеждениях и т. п.) и биометрические данные. Просим не указывать такие сведения в формах.

6. Правовые основания

Обработка осуществляется на основаниях, предусмотренных статьёй 6 152-ФЗ:

• согласие субъекта персональных данных (пункт 1 части 1 статьи 6) — при направлении обращения через формы Сайта, отклике на вакансию и подписке на рассылку;
• необходимость заключения и исполнения договора, стороной которого является субъект (пункт 5 части 1 статьи 6);
• исполнение обязанностей, возложенных на аудиторскую организацию Федеральным законом от 30.12.2008 № 307-ФЗ «Об аудиторской деятельности», законодательством о бухгалтерском учёте и об архивном деле;
• осуществление прав и законных интересов Оператора по защите Сайта от автоматических отправок и злоупотреблений — в части технических данных.

7. Порядок и условия обработки

• обработка ведётся с использованием средств автоматизации (база данных Сайта) и без их использования (переписка);
• персональные данные хранятся в базах данных, находящихся на территории Российской Федерации (часть 5 статьи 18 152-ФЗ); трансграничная передача персональных данных не осуществляется;
• доступ к персональным данным имеют только работники Оператора, которым он необходим для исполнения обязанностей;
• обработка может быть поручена хостинг-провайдеру (серверы на территории РФ) и провайдеру электронной почты Оператора на условиях конфиденциальности;
• сервисы Яндекса (Метрика, SmartCaptcha) получают только обезличенные технические данные — Метрика только после согласия на аналитические cookie;
• уведомления о новых обращениях направляются работникам Оператора по электронной почте; в мессенджер направляется только служебное уведомление без персональных данных;
• персональные данные не передаются третьим лицам в маркетинговых целях и не публикуются.

Первоисточник: статья 18 152-ФЗ.

8. Сроки обработки и хранения

• обращения через формы Сайта и резюме — не более 3 лет с даты поступления, если за это время не заключён договор; по истечении срока записи удаляются автоматически;
• данные, связанные с договором, — в течение срока действия договора и установленных законодательством сроков хранения документов;
• обезличенная статистика — в соответствии с условиями сервиса Яндекс.Метрика;
• при достижении цели обработки или отзыве согласия персональные данные уничтожаются в срок, не превышающий 30 дней (части 4 и 5 статьи 21 152-ФЗ), если иное не предусмотрено законом или договором.

Первоисточник: статья 21 152-ФЗ. TODO(legal): срок хранения обращений подтверждает юрист.

9. Права субъекта персональных данных

В соответствии со статьёй 14 152-ФЗ субъект персональных данных вправе:

• получать сведения об обработке своих персональных данных: подтверждение факта обработки, цели, способы, сроки и перечень данных;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку (часть 2 статьи 9 152-ФЗ);
• обжаловать действия или бездействие Оператора в Роскомнадзор или в суд.

Запрос направляется на office@rsl-audit.ru или почтой по адресу Оператора с указанием сведений, позволяющих идентифицировать заявителя. Оператор отвечает в течение 10 рабочих дней с даты получения запроса (статья 20 152-ФЗ).

10. Меры защиты персональных данных

Во исполнение статьи 18.1 и статьи 19 152-ФЗ Оператор принимает правовые, организационные и технические меры:

• назначение ответственного за организацию обработки; ознакомление работников с законодательством и локальными актами;
• защищённое соединение (HTTPS), разграничение доступа к базе данных и панели управления Сайтом по учётным записям и ролям;
• защита форм от автоматических отправок, ограничение частоты запросов, проверка загружаемых файлов;
• размещение серверов на территории Российской Федерации, регулярное резервное копирование;
• контроль принимаемых мер и восстановление данных при сбоях.

Сведения, полученные при оказании аудиторских и сопутствующих услуг, составляют аудиторскую тайну и охраняются в соответствии со статьёй 9 307-ФЗ.

11. Файлы cookie и аналитика

Использование cookie, Яндекс.Метрики и карты описано в Политике использования файлов cookie. Аналитические cookie включаются только после согласия посетителя; выбор можно изменить по ссылке «Настройки cookie» в подвале Сайта.

12. Изменение Политики

Оператор вправе изменять Политику. Новая редакция публикуется на Сайте с новым номером версии и датой вступления в силу. Продолжение использования Сайта после публикации означает ознакомление с новой редакцией.

Уведомление об обработке персональных данных направляется Оператором в Роскомнадзор в порядке статьи 22 152-ФЗ. TODO(legal): подтвердить факт подачи уведомления.