ПОЛИТИКА
В ОТНОШЕНИИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
 
Сведения об Операторе:
 
1. Общие положения
1.1. Настоящая Политика обработки персональных данных Оператора, сведения о котором указаны выше — самозанятого специалиста по профессиональному уходу за ногтями и стопами (подолога, оказывающего услуги в области профессионального ухода за ногтями и стопами (подологии), выездного маникюра и педикюра, массажа стоп и голеней, окрашивания бровей и ресниц, депиляции воском (далее — «Оператор») — в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о персональных данных») в целях обеспечения защиты прав и свобод человека и гражданина при обработке персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.
1.2. Политика распространяется на все операции с персональными данными, которые осуществляет Оператор как до, так и после утверждения настоящей Политики, вне зависимости от способа обработки.
1.3. Политика вступает в силу с момента ее утверждения Оператором и действует бессрочно, до замены ее новой редакцией. Действующая редакция постоянно размещена на информационных ресурсах Оператора в открытом доступе.
1.4. Обращение к Оператору за оказанием услуг, оформление записи на сайте / в аккаунте Оператора либо через мессенджер означает согласие субъекта персональных данных с условиями настоящей Политики. В случае несогласия с условиями Политики субъект обязан отказаться от использования сайта / аккаунта Оператора и от обращения к Оператору.
1.5. Контроль за исполнением требований настоящей Политики осуществляется непосредственно Оператором, который несет персональную ответственность за соблюдение законодательства о персональных данных.
1.6. Основные понятия
Персональные данные — любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных).
Оператор — лицо, самостоятельно организующее и осуществляющее обработку персональных данных, определяющее цели и состав обрабатываемых данных.
Субъект персональных данных (Субъект) — физическое лицо, персональные данные которого обрабатываются Оператором (клиент, посетитель сайта / профиля в социальных сетях).
Обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление, уничтожение.
Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.
Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.
Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).
Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.
Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.
Файлы cookie — файлы, автоматически сохраняемые на устройстве посетителя при посещении сайта / использовании сервисов Оператора и содержащие техническую информацию (IP-адрес, тип браузера, ОС, идентификаторы сессий и т.п.).
Сайт / аккаунт — веб-сайт и/или страница Оператора в социальных сетях и мессенджерах, посредством которых осуществляется сбор персональных данных и предоставление услуг.
2. Цели и правовые основания обработки персональных данных
2.1. Обработка персональных данных ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями их сбора. Объем обрабатываемых персональных данных не должен быть избыточным по отношению к заявленным целям.
2.2. Правовыми основаниями обработки персональных данных являются: Конституция РФ; Гражданский кодекс РФ; Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»; Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»; Налоговый кодекс РФ; договоры, заключаемые между Оператором и субъектами персональных данных; согласие субъекта персональных данных на обработку его персональных данных (ст. 9 Закона о персональных данных).
2.3. Оператор осуществляет обработку персональных данных в следующих целях:
2.3.1. Обработка заявок и обращений, связь с субъектом персональных данных
Категории персональных данных: фамилия, имя; номер телефона; адрес электронной почты; адрес места оказания услуги (при выездном формате обслуживания); сведения о состоянии кожи, ногтей, стоп и голеней и о наличии противопоказаний к процедурам, сообщаемые субъектом самостоятельно для обеспечения безопасности услуги.
Категории субъектов: посетители сайта, потенциальные клиенты, клиенты.
Правовое основание: согласие субъекта на обработку персональных данных (ст. 9 Закона о персональных данных); необходимость исполнения договора, стороной которого является субъект персональных данных (п. 5 ч. 1 ст. 6 Закона о персональных данных).
Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление, уничтожение.
Способы обработки: смешанный (автоматизированный и неавтоматизированный); без передачи по внутренней сети юридического лица; с передачей по сети Интернет.
Срок хранения: до достижения цели обработки или отзыва согласия субъектом, но не более 3 (трех) лет с момента последнего взаимодействия с субъектом.
Порядок уничтожения: удаление из базы данных Оператора с составлением акта об уничтожении персональных данных.
2.3.2. Продвижение товаров, работ и услуг на рынке (рекламная и информационная рассылка)
Категории персональных данных: фамилия, имя; номер телефона; адрес электронной почты; никнеймы в социальных сетях (при наличии); дата рождения.
Категории субъектов: посетители сайта, клиенты, выразившие согласие на получение рассылки.
Правовое основание: добровольное, конкретное, информированное и однозначное согласие субъекта персональных данных (ст. 9 Закона о персональных данных; ст. 18 Федерального закона «О рекламе»). Согласие на рекламную рассылку оформляется отдельно от иных согласий и не может быть объединено с ними.
Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление, уничтожение.
Способы обработки: смешанный; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.
Срок хранения: до отзыва согласия субъектом или до его письменного отказа от рассылки, но не более 3 (трех) лет.
Порядок уничтожения: удаление из баз данных и сервисов рассылок с составлением акта об уничтожении персональных данных.
2.3.3. Подготовка, заключение и исполнение гражданско-правового договора
Категории персональных данных: фамилия, имя, отчество; адрес электронной почты; номер телефона; номер расчетного счета.
Категории субъектов: контрагенты, представители контрагентов, клиенты, выгодоприобретатели по договорам.
Правовое основание: согласие субъекта персональных данных; необходимость исполнения договора, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, а также заключения договора по инициативе субъекта персональных данных.
Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление, уничтожение.
Способы обработки: смешанный (автоматизированный и неавтоматизированный); без передачи по внутренней сети юридического лица; с передачей по сети Интернет.
Срок хранения: в течение срока действия договора и не менее 5 (пяти) лет после его окончания (ст. 196 ГК РФ, требования НК РФ к хранению документов); для первичных бухгалтерских документов — в соответствии с требованиями налогового законодательства (до 5 лет и более).
Порядок уничтожения: удаление из информационных систем и архивов Оператора с составлением акта об уничтожении персональных данных после истечения установленного срока хранения.
2.3.4. Аналитика поведения пользователей сайта и обеспечение его функционирования
Категории персональных данных: пользовательские данные: IP-адрес (обезличенный), тип и версия браузера и операционной системы, источник перехода, длительность сессии, посещенные страницы, cookie-идентификаторы.
Категории субъектов: посетители сайта.
Правовое основание: согласие субъекта на обработку персональных данных, получаемое посредством cookie-баннера при первом посещении сайта.
Перечень действий: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, блокирование, удаление, уничтожение.
Способы обработки: автоматизированный; без передачи по внутренней сети юридического лица; с передачей по сети Интернет.
Срок хранения: не более 3 (трех) лет; сессионные cookie — до закрытия браузера; постоянные cookie — в соответствии с настройками применяемых сервисов аналитики, но не более 2 лет.
Порядок уничтожения: автоматическое удаление по истечении срока хранения в соответствующих сервисах.
3. Права и обязанности субъекта персональных данных и Оператора
3.1. Субъект персональных данных имеет право:
— получать информацию об обработке его персональных данных, в том числе: подтверждение факта обработки, правовые основания, цели и способы обработки, перечень обрабатываемых данных, сроки их хранения, сведения о третьих лицах — получателях данных (ч. 7 ст. 14 Закона о персональных данных);
— требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не необходимы для заявленной цели (ст. 21 Закона о персональных данных);
— отозвать согласие на обработку персональных данных в любой момент (ст. 9 Закона о персональных данных);
— требовать прекращения передачи (распространения, предоставления) персональных данных, ранее разрешенных для распространения;
— обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
— требовать возмещения убытков и компенсации морального вреда в судебном порядке;
— осуществлять иные права, предусмотренные законодательством Российской Федерации.
3.2. Порядок реализации прав субъекта
3.2.1. Для реализации своих прав субъект персональных данных направляет Оператору письменный запрос или запрос в форме электронного документа на адрес электронной почты.
3.2.2. Запрос должен содержать: Ф.И.О. субъекта; сведения, подтверждающие участие субъекта в отношениях с Оператором (дата записи, вид услуги, иное); подпись субъекта персональных данных или его представителя.
3.2.3. Отзыв согласия осуществляется путем направления письменного заявления в свободной форме. Заявление должно содержать Ф.И.О. субъекта, дату подачи и указание на конкретное согласие, которое отзывается. Оператор прекращает обработку соответствующих персональных данных в течение 7 (семи) рабочих дней.
3.2.4. Оператор обязан ответить на запрос субъекта в течение 10 (десяти) рабочих дней с момента его получения. Указанный срок может быть продлен не более чем на 5 (пять) рабочих дней с направлением Оператором мотивированного уведомления. Если запрос не соответствует требованиям законодательства либо субъект не имеет права на запрашиваемую информацию, Оператор направляет мотивированный отказ.
3.3. Субъект персональных данных обязан предоставлять Оператору только достоверные, актуальные и полные персональные данные и своевременно уведомлять об их изменении. Лица, предоставившие Оператору недостоверные сведения о себе либо персональные данные другого субъекта без его согласия, несут ответственность в соответствии с законодательством Российской Федерации.
3.4. Оператор вправе:
— получать от субъекта персональных данных достоверную информацию и (или) документы, содержащие персональные данные;
— в случае отзыва субъектом согласия продолжить обработку персональных данных без согласия субъекта при наличии оснований, предусмотренных Законом о персональных данных;
— самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных, если иное не предусмотрено законодательством Российской Федерации.
3.5. Оператор обязан:
— предоставлять субъекту по его запросу информацию, касающуюся обработки его персональных данных;
— организовывать обработку персональных данных в порядке, установленном законодательством Российской Федерации;
— отвечать на обращения и запросы субъектов и их законных представителей в установленные сроки;
— сообщать в Роскомнадзор необходимую информацию в течение 30 дней с даты получения соответствующего запроса;
— принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения и иных неправомерных действий;
— прекратить передачу, обработку и уничтожить персональные данные в порядке и случаях, предусмотренных Законом о персональных данных;
— публиковать и обеспечивать неограниченный доступ к настоящей Политике;
— исполнять иные обязанности, предусмотренные Законом о персональных данных и принятыми в соответствии с ним нормативными актами.
4. Порядок получения согласия на обработку персональных данных
4.1. Согласие на обработку персональных данных выражается субъектом одним из следующих способов: проставление отметки (галочки) в чек-боксе рядом с текстом «Я даю согласие на обработку персональных данных» на сайте / в форме записи Оператора; заключение договора оказания услуг; направление письменного заявления о согласии на обработку персональных данных. Бездействие субъекта не может расцениваться как согласие. Субъект принимает решение о предоставлении своих персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе.
4.2. Согласие на рекламную рассылку (цель 2) оформляется отдельным чек-боксом или отдельным документом и не может быть объединено с иными согласиями. Субъект вправе в любой момент отказаться от рассылки.
4.3. Согласие на публикацию отзыва и/или изображения (цель 4) оформляется отдельным документом и содержит конкретный перечень публикуемых данных и перечень информационных ресурсов Оператора.
4.4. Согласие на передачу персональных данных третьим лицам, разрешенных субъектом для распространения, оформляется отдельно от иных согласий и предоставляется Оператору непосредственно субъектом персональных данных.
4.5. В случаях, предусмотренных законодательством Российской Федерации (исполнение договора, исполнение требований закона и др.), обработка персональных данных осуществляется без получения согласия субъекта на основаниях, перечисленных в ч. 1 ст. 6 и ч. 2 ст. 10 Закона о персональных данных.
5. Объем и категории обрабатываемых персональных данных
5.1. Оператор обрабатывает только общие (иные) категории персональных данных, перечисленные в разделе 2 настоящей Политики. Перечень персональных данных соответствует заявленным целям и не является избыточным.
5.2. Оператор не обрабатывает специальные категории персональных данных, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни.
Исключение: в рамках оказания подологических процедур (аппаратный маникюр/педикюр, обработка вросших ногтей, мозолей и натоптышей) и депиляции Оператор вправе запросить информацию о состоянии здоровья, кожи, ногтей и стоп клиента и о наличии противопоказаний (в частности, сахарный диабет, грибковые и иные заболевания) исключительно для обеспечения безопасности процедуры. Такая информация обрабатывается конфиденциально и не передается третьим лицам.
5.3. Оператор не обрабатывает биометрические персональные данные.
5.4. Оператор не осуществляет намеренную обработку персональных данных лиц младше 18 лет. Услуги Оператора предназначены для лиц, достигших 18 лет, либо для лиц младше 18 лет — с согласия и в присутствии их законных представителей. Если Оператору станет известно о получении персональных данных несовершеннолетнего без согласия его законных представителей, такие данные подлежат удалению в кратчайшие возможные сроки.
6. Порядок и условия обработки персональных данных
6.1. Обработка персональных данных осуществляется Оператором в соответствии с требованиями законодательства РФ, принципами соразмерности, целевой ограниченности и минимизации данных.
6.2. Способы получения персональных данных: заполнение форм на сайте или в аккаунте Оператора в социальных сетях; обращение клиента в мессенджер / в директ; устное обращение к мастеру при выездном обслуживании; заключение договора; оставление комментариев и отзывов в социальных сетях.
6.3. Оператор осуществляет как автоматизированную, так и неавтоматизированную обработку персональных данных.
6.4. Оператор обеспечивает хранение персональных данных граждан РФ с использованием баз данных и информационных систем, расположенных на территории Российской Федерации (ст. 18.1 Закона о персональных данных).
6.5. К обработке персональных данных допускаются только работники и уполномоченные лица Оператора, в обязанности которых входит такая обработка и которые ознакомлены с настоящей Политикой.
6.6. Хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки, с учетом сроков, установленных в разделе 2 настоящей Политики. По истечении установленного срока персональные данные подлежат уничтожению.
6.7. Оператор не создает на основании персональных данных субъектов общедоступные источники персональных данных (справочники, адресные книги и т.п.) без их отдельного письменного согласия.
6.8. Оператор не осуществляет трансграничную передачу персональных данных субъектов на территорию иностранных государств.
7. Передача персональных данных третьим лицам
7.1. Персональные данные субъектов не раскрываются третьим лицам и не распространяются без согласия субъекта персональных данных, если иное не предусмотрено законодательством Российской Федерации.
7.2. Оператор вправе передавать персональные данные третьим лицам, привлекаемым для обеспечения своей деятельности и исполнения обязательств перед субъектами персональных данных, исключительно в объеме, необходимом для достижения соответствующих целей обработки. Передача осуществляется при условии, что с третьим лицом заключен договор поручения на обработку персональных данных, содержащий обязательства по обеспечению конфиденциальности и безопасности данных, обработка ведется с использованием баз данных, расположенных на территории Российской Федерации, и третье лицо не передает персональные данные другим лицам без согласия субъекта.
Передача персональных данных может осуществляться следующим категориям лиц:
— сервисам онлайн-записи и учета клиентов — для записи на процедуры, ведения расписания, направления уведомлений и напоминаний;
— сервисам электронной почты, SMS- и мессенджер-рассылок — для направления информационных и рекламных сообщений при наличии отдельного согласия субъекта персональных данных;
— платежным организациям и платежным сервисам — для обработки и проведения платежей;
— организациям, оказывающим услуги технической поддержки, сопровождения программного обеспечения, хостинга и хранения данных, — для обеспечения работы информационных систем Оператора;
— операторам связи — для осуществления коммуникации с субъектами персональных данных;
— иным лицам, если такая передача необходима для исполнения договора с субъектом персональных данных либо предусмотрена законодательством Российской Федерации.
7.3. Передача персональных данных органам дознания, следствия, судам, Федеральной налоговой службе и иным государственным органам осуществляется в случаях и порядке, предусмотренных законодательством Российской Федерации.
7.4. Оператор по письменному требованию субъекта персональных данных прекращает передачу (предоставление, распространение) его персональных данных в случаях и порядке, предусмотренных законодательством Российской Федерации.
8. Обработка файлов cookie и данных веб-аналитики
8.1. На сайте Оператора используются файлы cookie — небольшие текстовые файлы, сохраняемые на устройстве пользователя при посещении сайта. Оператор использует следующие виды файлов cookie:
— обязательные (технические) — обеспечивают корректную работу сайта, безопасность, сохранение пользовательской сессии и функционирование отдельных сервисов сайта;
— аналитические (статистические) — используются для сбора обезличенной статистики посещаемости сайта, анализа поведения пользователей и улучшения работы сайта;
— функциональные — используются для сохранения пользовательских настроек и предпочтений при использовании сайта;
— маркетинговые (рекламные) — используются для оценки эффективности рекламных кампаний, анализа источников трафика, формирования аудиторий и показа релевантной рекламы, в том числе с использованием рекламных пикселей и счетчиков (при их подключении).
8.2. При первом посещении сайта пользователю отображается уведомление (баннер) об использовании файлов cookie. Обязательные (технические) файлы cookie применяются без получения согласия пользователя, поскольку являются необходимыми для функционирования сайта. Использование аналитических и маркетинговых файлов cookie осуществляется после получения согласия пользователя.
8.3. Пользователь вправе в любое время изменить настройки своего браузера, ограничить использование файлов cookie либо удалить ранее сохраненные файлы cookie. При этом отдельные функции и сервисы сайта могут работать некорректно или быть недоступны.
8.4. Оператор не использует файлы cookie для принятия решений, порождающих юридические последствия для пользователя либо иным образом существенно затрагивающих его права и законные интересы.
9. Меры по обеспечению безопасности и порядок реагирования на инциденты
9.1. Организационные меры:
— личная ответственность Оператора;
— ограничение круга лиц, допущенных к обработке персональных данных;
— ведение внутренних регламентов;
— проведение внутреннего контроля и (или) аудита соответствия обработки персональных данных требованиям законодательства;
— заключение договоров поручения с третьими лицами — обработчиками персональных данных;
— ведение журнала учета действий с персональными данными.
9.2. Технические меры:
— использование антивирусного программного обеспечения;
— идентификация и проверка подлинности пользователя при входе в информационную систему;
— применение защищенных каналов передачи данных (HTTPS/TLS);
— регулярное резервное копирование данных;
— контроль доступа к информационным системам;
— обнаружение фактов несанкционированного доступа к персональным данным и принятие мер по устранению последствий и предотвращению повторных инцидентов.
9.3. Физические меры:
— контроль доступа к помещениям, в которых размещены информационные системы с персональными данными;
— исключение возможности визуального просмотра персональных данных посторонними лицами;
— надлежащее хранение бумажных носителей с персональными данными.
9.4. Оператор осуществляет контроль за принимаемыми мерами по обеспечению безопасности персональных данных и уровнем защищенности информационных систем.
9.5. При выявлении факта неправомерного доступа к персональным данным или иного нарушения безопасности Оператор принимает меры по устранению последствий нарушения и уведомляет субъектов персональных данных, если это требуется для защиты их прав.
10. Актуализация, исправление, блокирование и уничтожение персональных данных
10.1. При выявлении неточных персональных данных по обращению субъекта Оператор блокирует соответствующие персональные данные с момента обращения на период проверки и уточняет данные в течение 7 (семи) рабочих дней, после чего снимает блокирование.
10.2. При выявлении неправомерной обработки персональных данных по обращению субъекта или Роскомнадзора Оператор незамедлительно блокирует неправомерно обрабатываемые персональные данные. Если обеспечить правомерность обработки невозможно, Оператор уничтожает такие данные в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки.
10.3. При достижении цели обработки, истечении срока хранения, отзыве согласия персональные данные подлежат уничтожению в срок, не превышающий 30 (тридцати) дней, если иное не предусмотрено договором или законодательством РФ.
10.4. Уничтожение персональных данных осуществляется путем: безвозвратного удаления из информационных систем и баз данных без возможности восстановления; уничтожения материальных носителей, содержащих персональные данные (при наличии).
10.5. Факт уничтожения персональных данных фиксируется в Акте об уничтожении персональных данных, содержащем: Ф.И.О. субъекта, перечень уничтоженных категорий персональных данных, способ и дату уничтожения, причину уничтожения, подпись Оператора.
10.6. Оператор уведомляет субъекта персональных данных или его представителя об устранении допущенных нарушений либо об уничтожении персональных данных, а в случае поступления обращения от Роскомнадзора — также данный орган.
11. Ответственность за нарушение законодательства о персональных данных
11.1. Лица, виновные в нарушении требований законодательства РФ в области персональных данных, привлекаются к дисциплинарной, гражданско-правовой, административной или уголовной ответственности в соответствии с законодательством РФ.
11.2. Моральный вред, причиненный субъекту персональных данных вследствие нарушения его прав, подлежит возмещению в соответствии с законодательством РФ независимо от возмещения имущественного вреда и убытков.
12. Изменение и актуализация Политики
12.1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция вступает в силу с момента размещения на информационных ресурсах Оператора.
12.2. В случае существенных изменений, затрагивающих права субъектов персональных данных, Оператор уведомляет субъектов доступными способами (e-mail, уведомление в мессенджере / директе).
12.3. Продолжение использования сайта / аккаунта и обращение к Оператору после публикации изменений подтверждает ознакомление субъекта с новой редакцией Политики, но не является согласием на обработку персональных данных в новом объеме — соответствующее согласие в случаях, когда оно необходимо, запрашивается Оператором отдельно.