Политика обработки персональных данных
ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ
ООО «[НАЗВАНИЕ ПЛАТФОРМЫ]»
Редакция № 1
Дата вступления в силу: [ДД.ММ.ГГГГ]
Раздел 1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее — «Политика») определяет порядок обработки и защиты персональных данных, обрабатываемых Обществом с ограниченной ответственностью «[НАЗВАНИЕ]» (далее — «Оператор»), в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «ФЗ № 152»), Постановления Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» (далее — «ПП № 1119»), Приказа ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» (далее — «Приказ ФСТЭК № 21»), Федерального закона от 28.02.2025 № 23-ФЗ и иных нормативных правовых актов РФ.
1.2. Политика разработана в соответствии со ст. 18.1 ФЗ № 152 и является обязательной для исполнения всеми работниками Оператора, а также иными лицами, имеющими доступ к персональным данным в силу служебных или гражданско-правовых отношений с Оператором.
1.3. Политика размещается в открытом доступе на официальном сайте Оператора по адресу: https://shoporder1.referralboost.ru.
1.4. Термины и определения, используемые в Политике, соответствуют терминам и определениям, установленным ст. 3 ФЗ № 152. Дополнительно используются следующие термины:
- ИСПДн — информационная система персональных данных Оператора (включая веб-приложение, Telegram-бот, серверную инфраструктуру, базу данных PostgreSQL);
- Уровень защищенности — уровень защищенности ПДн, определяемый в соответствии с ПП № 1119;
- Трансграничная передача — передача ПДн на территорию иностранных государств;
- Обработчик — лицо, осуществляющее обработку ПДн по поручению Оператора (ст. 3 ФЗ № 152);
- Поручение на обработку — документ, оформленный в письменной форме, содержащий перечень действий с ПДн, instructions, указания на цели обработки, срок обработки и требования к безопасности (ч. 3 ст. 6 ФЗ № 152).
Раздел 2. Сведения об Операторе
2.1. Полное наименование: Общество с ограниченной ответственностью «[НАЗВАНИЕ]»
2.2. Сокращённое наименование: ООО «[НАЗВАНИЕ]»
2.3. ОГРН: [ЗНАЧЕНИЕ]
2.4. ИНН / КПП: [ЗНАЧЕНИЕ] / [ЗНАЧЕНИЕ]
2.5. Юридический адрес: [АДРЕС]
2.6. Фактический адрес: [АДРЕС]
2.7. Телефон: [ТЕЛЕФОН]
2.8. Email: [EMAIL]
2.9. Сайт: https://shoporder1.referralboost.ru
2.10. Лицо, ответственное за обработку ПДн: [ФИО], назначенное приказом № [НОМЕР] от [ДАТА] (далее — «Ответственный за обработку ПДн»).
2.11. Лицо, ответственное за безопасность ПДн в ИСПДн: [ФИО], назначенное приказом № [НОМЕР] от [ДАТА] (далее — «Ответственный за безопасность ПДн»).
Раздел 3. Цели обработки персональных данных
3.1. Оператор обрабатывает ПДн исключительно в конкретных, заранее определенных и законных целях (ст. 5 ФЗ № 152). Обработка ПДн, несовместимая с целями сбора, не допускается.
3.2. Цели обработки ПДн:
| № | Категория субъектов | Цель обработки | Правовое основание (ч. 1 ст. 6 ФЗ № 152) | Категории обрабатываемых ПДн |
|---|---|---|---|---|
| 1 | Клиенты/покупатели (физлица) | Заключение и исполнение договора купли-продажи (оформление заказа, доставка, оплата, возврат) | п. 5 ч. 1 ст. 6 — исполнение договора | ФИО, телефон, email, адрес доставки, история заказов |
| 2 | Клиенты/покупатели (физлица) | Информирование о статусе заказа, уведомления о готовности, доставке | п. 5 ч. 1 ст. 6 — исполнение договора | ФИО, телефон, email |
| 3 | Клиенты/покупатели (физлица) | Маркетинговые рассылки (акции, скидки, новости) | п. 1 ч. 1 ст. 6 — согласие субъекта | ФИО, телефон, email |
| 4 | Продавцы/арендаторы (физлица-ИП) | Заключение и исполнение агентского договора | п. 5 ч. 1 ст. 6 — исполнение договора | ФИО, ИНН, ОГРНИП, телефон, email, банковские реквизиты |
| 5 | Продавцы/арендаторы (юрлица) | Заключение и исполнение агентского договора | п. 5 ч. 1 ст. 6 — исполнение договора | ФИО представителя, ИНН, ОГРН, телефон, email, банковские реквизиты |
| 6 | Пользователи сайта (без регистрации) | Предоставление доступа к сайту, обработка запросов через формы обратной связи | п. 1 ч. 1 ст. 6 — согласие субъекта | IP-адрес, cookie, имя (псевдоним), телефон, email |
| 7 | Пользователи Telegram-бота | Оказание информационных услуг (навигация по каталогу, оформление заказа) | п. 1 ч. 1 ст. 6 — согласие субъекта | Имя пользователя (username), ID чата, история взаимодействий |
| 8 | Работники Оператора | Кадровый учёт, ведение трудовых отношений, расчёт заработной платы | п. 2 ч. 1 ст. 6 — исполнение обязанностей, возложенных законом | ФИО, паспорт, СНИЛС, ИНН, образование, семейное положение, адрес, телефон |
| 9 | Кандидаты на работу | Рассмотрение кандидатуры, оценка квалификации | п. 1 ч. 1 ст. 6 — согласие субъекта | ФИО, телефон, email, образование, опыт работы |
| 10 | Пользователи AI-агента | Оказание консультационных услуг с использованием AI (RAG, Tool Calling) | п. 1 ч. 1 ст. 6 — согласие субъекта | ФИО, телефон, история запросов к AI-агенту |
3.3. Принцип минимизации данных (ст. 5 ФЗ № 152): Оператор собирает только те ПДн, которые необходимы для достижения конкретной цели. Избыточный сбор не допускается. Запрещается сбор ПДн, не относящихся к целям, указанным в п. 3.2.
Раздел 4. Состав и категории обрабатываемых персональных данных
4.1. Категории ПДн, обрабатываемых Оператором:
| Категория ПДн | Примеры | Категории субъектов | Уровень чувствительности |
|---|---|---|---|
| Общедоступные ПДн | ФИО, телефон, email | Клиенты, продавцы, кандидаты | Низкий |
| Иные ПДн (не специальные, не биометрические) | Адрес доставки, история заказов, IP-адрес, cookie | Клиенты, пользователи | Низкий |
| ПДн работников | Паспорт, СНИЛС, ИНН, образование, семейное положение | Работники | Средний |
| Специальные категории ПДн | Сведения о здоровье (больничные листы) | Работники | Высокий — обрабатывается только при необходимости предоставления в СФР |
| Биометрические ПДн | Не обрабатываются | — | — |
4.2. Оператор не обрабатывает биометрические персональные данные (фотографии для идентификации, отпечатки пальцев, голосовые слепки). В случае необходимости обработки биометрических ПДн будет получено отдельное согласие и обеспечен соответствующий уровень защищенности (УЗ-1 или УЗ-2 по ПП № 1119).
4.3. Оператор не обрабатывает специальные категории ПДн (раса, национальность, политические взгляды, религиозные убеждения, интимная жизнь), за исключением случаев, прямо предусмотренных законом (ч. 2 ст. 10 ФЗ № 152).
Раздел 5. Правовые основания обработки
5.1. Правовые основания обработки ПДн (ч. 1 ст. 6 ФЗ № 152):
| Основание | Применение у Оператора | Категории субъектов |
|---|---|---|
| п. 1 — Согласие субъекта | Маркетинговые рассылки, обработка запросов через сайт, AI-агент, Telegram-бот | Клиенты, пользователи, кандидаты |
| п. 2 — Исполнение обязанностей, возложенных законом | Кадровый учёт, отчётность в ФНС, СФР, Росстат | Работники |
| p. 5 — Исполнение договора | Оформление и исполнение заказов, агентский договор | Клиенты, продавцы |
| p. 8 — Осуществление прав и законных интересов | Защита от мошенничества, разрешение споров | Клиенты, продавцы |
5.2. Согласие на обработку ПДн оформляется отдельным документом в соответствии с требованиями ч. 1 ст. 9 ФЗ № 152 (в редакции ФЗ от 24.06.2025 № 156-ФЗ, действующей с 01.09.2025). Согласие не может быть включено в текст договора, пользовательского соглашения или иного документа.
5.3. Согласие на передачу ПДн третьим лицам оформляется отдельным документом (ст. 9 ФЗ № 152). В согласии на передачу указываются: наименование получателя, цель передачи, перечень передаваемых ПДн, срок обработки.
5.4. Отзыв согласия не прекращает обработку ПДн, осуществляемую на иных правовых основаниях (п. 5 ч. 1 ст. 6 — исполнение договора), в течение срока, необходимого для исполнения договора.
Раздел 6. Сроки обработки и хранения
6.1. ПДн хранятся не дольше, чем этого требуют цели обработки (ст. 5 ФЗ № 152). Сроки хранения:
| Категория субъектов / цель | Срок хранения | Основание прекращения |
|---|---|---|
| Клиенты — исполнение договора | Срок действия договора + 3 года (срок исковой давности по ст. 196 ГК РФ) | Истечение срока + уничтожение |
| Клиенты — маркетинговые рассылки | До отзыва согласия | Отзыв согласия + уничтожение в течение 30 дней |
| Пользователи сайта — обработка запросов | 1 год с момента последнего обращения | Истечение срока + уничтожение |
| Пользователи Telegram-бота | До отзыва согласия | Отзыв согласия + уничтожение в течение 30 дней |
| Пользователи AI-агента | До отзыва согласия | Отзыв согласия + уничтожение в течение 30 дней |
| Продавцы — исполнение договора | Срок действия агентского договора + 5 лет (налоговое хранение) | Истечение срока + уничтожение |
| Работники — кадры | Весь срок трудовых отношений + 50/75 лет (Приказ Росархива № 236 от 20.12.2019) | Истечение срока + уничтожение/передача в архив |
| Кандидаты на работу | 6 месяцев с момента получения резюме | Истечение срока + уничтожение |
6.2. ПДн, обработка которых прекращена в связи с достижением целей, отзывом согласия или истечением срока, подлежат уничтожению в течение 30 рабочих дней с момента возникновения основания, если иное не предусмотрено законом.
6.3. Уничтожение ПДн оформляется Актом об уничтожении персональных данных, подписываемым Ответственным за обработку ПДн и утверждаемым Генеральным директором.
Раздел 7. Передача персональных данных третьим лицам
7.1. Оператор может передавать ПДн следующим категориям третьих лиц:
| Получатель | Цель передачи | Перечень передаваемых ПДн | Основание |
|---|---|---|---|
| Продавец (по агентскому договору) | Исполнение заказа клиента | ФИО, телефон, адрес доставки | п. 5 ч. 1 ст. 6 — исполнение договора + согласие на передачу |
| Банк-эквайер (ООО «[НАЗВАНИЕ БАНКА]») | Приём онлайн-платежей | ФИО, телефон, сумма платежа | п. 5 ч. 1 ст. 6 — исполнение договора |
| ОФД (ООО «[НАЗВАНИЕ ОФД]») | Фискальный учёт по 54-ФЗ | ФИО, сумма, дата, время операции | п. 2 ч. 1 ст. 6 — требование закона (ФЗ № 54) |
| Логистическая компания (ООО «[НАЗВАНИЕ]») | Доставка заказа | ФИО, телефон, адрес доставки | п. 5 ч. 1 ст. 6 — исполнение договора + согласие на передачу |
| Платёжная система (НСПК — СБП) | Приём платежей через СБП | ФИО, телефон, сумма | п. 5 ч. 1 ст. 6 — исполнение договора |
| ФНС, СФР, Росстат | Отчётность | ПДн работников, финансовые данные | п. 2 ч. 1 ст. 6 — требование закона |
| Хостинг-провайдер (ООО «[НАЗВАНИЕ]») | Хранение БД | Все ПДн (как хранилище) | Договор + поручение на обработку (ч. 3 ст. 6 ФЗ № 152) |
| Иные обработчики по поручению | По поручению Оператора | Перечень определяется поручением | ч. 3 ст. 6 ФЗ № 152 — поручение на обработку |
7.2. Передача ПДн каждому получателю (кроме государственных органов) осуществляется на основании:
- Договора (агентский, с банком, с логистикой, с хостингом);
- Поручения на обработку ПДн (ч. 3 ст. 6 ФЗ № 152) — для обработчиков, действующих по поручению;
- Согласия субъекта на передачу (оформленного отдельным документом, ст. 9 ФЗ № 152).
7.3. При передаче ПДн обработчик обязан соблюдать требования ФЗ № 152, ПП № 1119 и Приказа ФСТЭК № 21, а также обеспечить конфиденциальность и безопасность переданных ПДн. Ответственность за действия обработчика несет Оператор (ч. 5 ст. 6 ФЗ № 152).
7.4. Трансграничная передача: Оператор не осуществляет трансграничную передачу ПДн. В случае возникновения такой необходимости будет подано отдельное уведомление в Роскомнадзор (ст. 18 ФЗ № 152) и получено отдельное согласие субъекта.
Раздел 8. Локализация персональных данных
8.1. В соответствии с ч. 5 ст. 18 ФЗ № 152 (в редакции ФЗ от 28.02.2025 № 23-ФЗ, действующей с 01.07.2025), запись, систематизация, накопление, хранение, уточнение, извлечение ПДн граждан РФ с использованием баз данных, находящихся за пределами территории РФ, не допускаются.
8.2. Все базы данных Оператора, содержащие ПДн, размещены на серверах, физически расположенных на территории Российской Федерации. Адрес размещения: [АДРЕС ЦОД / СЕРВЕРА].
8.3. Хостинг-провайдер: ООО «[НАЗВАНИЕ]», ИНН [ЗНАЧЕНИЕ], адрес ЦОД: [АДРЕС]. Подтверждение локализации — [Договор/СЛА от ДАТА].
8.4. Запрещается использование иностранных облачных сервисов (Google Cloud, AWS, Azure, Notion, Google Analytics) для обработки ПДн. Использование иностранных сервисов для целей, не связанных с обработкой ПДн, не ограничено.
Раздел 9. Уровень защищенности и меры защиты ПДн
9.1. Определение уровня защищенности
Уровень защищенности ИСПДн определяется в соответствии с ПП № 1119 на основе:
- Категории обрабатываемых ПДн (общедоступные, иные, специальные, биометрические);
- Количества субъектов ПДн;
- Типа актуальных угроз (1-й, 2-й, 3-й тип).
9.1.1. Определение типа актуальных угроз (п. 6 ПП № 1119):
| Тип угроз | Описание | Применимость к ИСПДн Оператора |
|---|---|---|
| 1-й тип | Связаны с наличием недокументированных возможностей в системном ПО | Возможно, если используется ПО с недокументированными возможностями |
| 2-й тип | Связаны с наличием недокументированных возможностей в прикладном ПО | Возможно |
| 3-й тип | Не связаны с недокументированными возможностями ПО | Применимо при использовании открытого ПО (Python, Flask, PostgreSQL) |
9.1.2. Для ИСПДн Оператора, обрабатывающей иные категории ПДн (ФИО, телефон, адрес доставки, история заказов) менее 100 000 субъектов, не являющихся сотрудниками, при актуальности угроз 3-го типа, устанавливается Уровень защищенности 4 (УЗ-4) (п. 12 ПП № 1119).
9.1.3. Для ИСПДн, обрабатывающей ПДн работников (паспорт, СНИЛС, ИНН — иные категории), при актуальности угроз 3-го типа, устанавливается УЗ-4 (п. 12 пп. «б» ПП № 1119).
9.1.4. При росте количества субъектов ПДн до более 100 000 или при изменении типа актуальных угроз уровень защищенности подлежит пересмотру.
9.1.5. Определение уровня защищенности оформляется Актом определения уровня защищенности ИСПДн, утверждаемым Генеральным директором.
9.2. Меры защиты по ПП № 1119
Для УЗ-4 (п. 13 ПП № 1119):
- а) организация режима обеспечения безопасности помещений, в которых размещена ИСПДн, препятствующего неконтролируемому проникновению посторонних лиц;
- б) обеспечение сохранности носителей ПДн;
- в) контроль за недопустимым разглашением ПДн;
- г) обнаружение фактов несанкционированного доступа к ПДн и принятие мер;
- д) восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа;
- е) обучение лиц, имеющих доступ к ПДн, положениям ФЗ № 152 и иных НПА.
9.3. Меры защиты по Приказу ФСТЭК № 21
Для УЗ-4 реализуется базовый набор мер из следующих групп (Приказ ФСТЭК № 21):
| № группы | Наименование группы мер | Применимость к ИСПДн Оператора |
|---|---|---|
| I | Идентификация и аутентификация (ИАФ) | Применяется: ИАФ.1, ИАФ.3, ИАФ.4, ИАФ.5 |
| II | Управление доступом (УПД) | Применяется: УПД.1, УПД.2, УПД.3, УПД.10, УПД.11, УПД.17 |
| III | Ограничение программной среды (ОПС) | Применяется: ОПС.1, ОПС.2 |
| IV | Защита машинных носителей ПДн (ЗНИ) | Применяется: ЗНИ.1, ЗНИ.4 |
| V | Регистрация событий безопасности (РСБ) | Применяется: РСБ.1 |
| VI | Антивирусная защита (АВЗ) | Применяется: АВЗ.1 |
| VII | Обнаружение вторжений (ОПВ) | Применяется: ОПВ.1 (опционально) |
| VIII | Контроль защищенности (АНЗ) | Применяется: АНЗ.1 |
| IX | Обеспечение целостности (ОЦЛ) | Применяется: ОЦЛ.1, ОЦЛ.2 |
| X | Обеспечение доступности (ОДТ) | Применяется: ОДТ.1, ОДТ.2, ОДТ.3 |
| XI | Защита среды виртуализации (ЗСВ) | Применяется: ЗСВ.1, ЗСВ.2 (при использовании виртуализации) |
| XII | Защита технических средств (ЗТС) | Применяется: ЗТС.1 |
| XIII | Защита ИСПДн, средств связи и передачи данных (ЗИС) | Применяется: ЗИС.1, ЗИС.2, ЗИС.3 (HTTPS/TLS) |
| XIV | Выявление инцидентов и реагирование (ИФЛ) | Применяется: ИФЛ.1, ИФЛ.2, ИФЛ.3 |
| XV | Управление конфигурацией (УКФ) | Применяется: УКФ.1, УКФ.2 |
9.3.1. Меры, реализуемые Оператором:
| Код меры | Описание реализации |
|---|---|
| ИАФ.1 | Все пользователи ИСПДн (работники, администраторы) идентифицируются по уникальным учётным записям и аутентифицируются паролем. Двухфакторная аутентификация — для администраторов |
| УПД.1 | Учётные записи создаются, активируются, блокируются и удаляются по заявке от руководителя подразделения. Уволенным работникам доступ закрывается в день увольнения |
| УПД.2 | Разграничение доступа: ролевая модель (admin, manager, support, developer). Каждой роли — минимально необходимый набор прав (principle of least privilege) |
| УПД.10 | Автоматическое блокирование сеанса после 15 минут бездействия |
| УПД.17 | Журнал доступа к ПДн, содержит: дата, время, пользователь, действие, объект |
| ОПС.1 | На серверах работает только одобренное ПО. Список одобренного ПО утверждается приказом |
| РСБ.1 | Регистрация событий безопасности: входы/выходы, изменение прав, доступ к ПДн, ошибки аутентификации. Хранение логов — не менее 90 дней |
| АВЗ.1 | Антивирусная защита на всех серверах и рабочих станциях с доступом к ПДн. Обновление баз — ежедневно. Полная проверка — еженедельно |
| ОЦЛ.1 | Контроль целостности системного ПО и конфигурации серверов (средствами ОС или отдельным ПО) |
| ОДТ.1 | Резервное копирование БД PostgreSQL — ежедневно (incremental), полное — еженедельно. Хранение резервных копий — 30 дней |
| ОДТ.2 | Резервные копии хранятся на отдельном защищённом носителе (не на том же сервере) |
| ЗИС.1 | Передача ПДн по каналам связи осуществляется только в зашифрованном виде (HTTPS/TLS 1.2+) |
| ЗИС.3 | Используется протокол TLS с сертификатами, выпущенными удостоверяющим центром [НАЗВАНИЕ УЦ] |
| ИФЛ.1 | Назначен Ответственный за безопасность ПДн, ответственный за выявление инцидентов |
| ИФЛ.2 | Регламент реагирования на инциденты утверждён приказом № [НОМЕР] от [ДАТА] |
| ИФЛ.3 | При выявлении инцидента — уведомление Генерального директора в течение 1 часа, уведомление Роскомнадзора — в течение 24 часов (ч. 3.1 ст. 21 ФЗ № 152) |
| УКФ.1 | Изменение конфигурации ИСПДн — только по утверждённой заявке, с фиксацией в журнале конфигураций |
9.4. Организационные меры защиты
9.4.1. Назначение ответственных:
- Ответственный за обработку ПДн — [ФИО] (приказ № [НОМЕР] от [ДАТА]);
- Ответственный за безопасность ПДн в ИСПДн — [ФИО] (приказ № [НОМЕР] от [ДАТА]).
9.4.2. Ознакомление работников:
- Все работники, имеющие доступ к ПДн, ознакомлены с Политикой под подпись (лист ознакомления — Приложение к Политике);
- Обучение по ФЗ № 152 — при приёме на работу и ежегодно.
9.4.3. Доступ к ПДн предоставляется только работникам, которым он необходим для исполнения должностных обязанностей. Список лиц, имеющих доступ — Приложение к Положению об обработке ПДн (внутренний документ).
9.4.4. Ограничение доступа к помещениям: серверы размещены в помещении с ограниченным доступом (доступ — только Ответственный за безопасность ПДн и Генеральный директор).
Раздел 10. Права субъектов персональных данных
10.1. Субъект ПДн имеет право (ст. 14 ФЗ № 152):
- Получить информацию об Операторе, о целях обработки, о категориях обрабатываемых ПДн, о сроках обработки, о третьих лицах, которым переданы ПДн;
- Требовать уточнения, блокирования или уничтожения ПДн в случае, если они являются неполными, устаревшими, неточными, незаконно полученными;
- Отозвать согласие на обработку ПДн;
- Требовать прекращения обработки ПДн в случаях, предусмотренных ФЗ № 152;
- Обжаловать действия или бездействие Оператора в Роскомнадзор или в суд.
10.2. Порядок реализации прав:
| Действие субъекта | Способ обращения | Срок ответа Оператора |
|---|---|---|
| Запрос информации об обработке ПДн | Письменное заявление / email: [EMAIL ПДн] / форма на сайте | 10 рабочих дней (ст. 14 ФЗ № 152) |
| Требование уточнения/исправления ПДн | Письменное заявление / форма на сайте | 10 рабочих дней |
| Отзыв согласия на обработку | Письменное заявление / форма на сайте / кнопка «Отозвать согласие» в личном кабинете | 30 рабочих дней (уничтожение ПДн) |
| Требование прекращения обработки | Письменное заявление | 10 рабочих дней |
| Жалоба в Роскомнадзор | Через pd.rkn.gov.ru | 30 дней (ст. 12 ФЗ № 59-ФЗ) |
10.3. Оператор имеет право отказать в предоставлении информации о ПДн в случаях, предусмотренных ч. 8 ст. 14 ФЗ № 152 (если предоставление информации нарушает права и законные интересы третьих лиц).
Раздел 11. Порядок уничтожения персональных данных
11.1. ПДн подлежат уничтожению при:
- Достижении целей обработки;
- Отзыве согласия субъектом (если нет иных оснований для обработки);
- Истечении срока хранения (раздел 6);
- Ликвидации Оператора.
11.2. Порядок уничтожения ПДн в ИСПДн (автоматизированная обработка):
- Удаление записей из базы данных PostgreSQL (DELETE / DROP);
- Перезапись данных на машинных носителях (многократная перезапись или физическое уничтожение носителя);
- Оформление Акта об уничтожении ПДн, подписываемого Ответственным за обработку ПДн и утверждаемого Генеральным директором;
- Срок оформления Акта — не позднее 5 рабочих дней с момента уничтожения.
11.3. Порядок уничтожения ПДн на бумажных носителях:
- Шредирование (физическое уничтожение) бумажных документов;
- Оформление Акта об уничтожении.
11.4. При отзыве согласия на обработку ПДн, обрабатываемых на основании согласия (маркетинговые рассылки, запросы через сайт, AI-агент), Оператор уничтожает ПДн в течение 30 рабочих дней с момента получения отзыва.
11.5. При отзыве согласия на обработку ПДн, обрабатываемых на основании исполнения договора, Оператор прекращает обработку в целях маркетинга, но сохраняет ПДн, необходимые для исполнения договора и в сроки, установленные законом (раздел 6).
Раздел 12. Реагирование на инциденты
12.1. Инцидент — любое событие, которое привело или могло привести к несанкционированному доступу, утечке, модификации или уничтожению ПДн.
12.2. Порядок реагирования (ч. 3.1 ст. 21 ФЗ № 152):
| Этап | Действие | Срок |
|---|---|---|
| 1. Обнаружение | Фиксация инцидента в Журнале инцидентов (Ответственный за безопасность ПДн) | Немедленно |
| 2. Оценка | Определение масштаба: количество затронутых субъектов, категория ПДн | В течение 2 часов |
| 3. Изоляция | Блокирование доступа к скомпрометированным ресурсам | В течение 4 часов |
| 4. Первичное уведомление РКН | Уведомление Роскомнадзора через portal.eis.rkn.gov.ru в свободной форме | В течение 24 часов с момента обнаружения (ч. 3.1 ст. 21 ФЗ № 152) |
| 5. Уведомление субъектов | Уведомление пострадавших субъектов ПДн (email/телефон) | В течение 24 часов |
| 6. Расследование | Внутреннее расследование, сбор доказательств | В течение 48 часов |
| 7. Повторное уведомление РКН | Уведомление с результатами расследования (содержание, причины, принятые меры) | В течение 72 часов (ч. 3.1 ст. 21 ФЗ № 152) |
| 8. Устранение | Устранение причин инцидента, восстановление ПДн из резервных копий | В течение 72 часов |
| 9. Отчёт | Отчёт Генеральному директору с описанием инцидента и мер | В течение 5 рабочих дней |
12.3. Журнал инцидентов ведётся Ответственным за безопасность ПДн в электронном виде, хранится не менее 5 лет.
Раздел 13. Cookies
13.1. Оператор использует cookies на сайте https://shoporder1.referralboost.ru для следующих целей:
| Категория cookie | Назначение | Срок хранения | Требуется ли согласие |
|---|---|---|---|
| Необходимые (strictly necessary) | Обеспечение работоспособности сайта (сессия, авторизация) | Сессия | Нет |
| Функциональные | Сохранение настроек пользователя (язык, регион) | 30 дней | Нет |
| Аналитические | Сбор статистики посещаемости (Яндекс.Метрика) | 14 месяцев | Да — отдельное согласие |
| Маркетинговые | Таргетированная реклама (Яндекс.Директ) | 180 дней | Да — отдельное согласие |
13.2. Согласие на использование cookies, которые могут содержать ПДн, оформляется отдельным документом (баннер cookie с отдельным чекбоксом, не предустановленным). Пользователь может отказаться от аналитических и маркетинговых cookie, оставив только необходимые.
13.3. Запрещается использование иностранных аналитических сервисов (Google Analytics, Facebook Pixel) для обработки ПДн граждан РФ в связи с требованием локализации (ч. 5 ст. 18 ФЗ № 152, с 01.07.2025).
Раздел 14. Заключительные положения
14.1. Политика вступает в силу с момента её утверждения Генеральным директором и размещения на сайте Оператора.
14.2. Политика подлежит пересмотру и актуализации:
- При изменении законодательства РФ о ПДн;
- При изменении целей, категорий обрабатываемых ПДн или категорий субъектов;
- При изменении ИСПДн (добавление новых модулей, интеграций);
- При выявлении несоответствия Политики реальным процессам обработки;
- Не реже 1 раза в год.
14.3. Актуализированная Политика размещается на сайте. О существенных изменениях пользователи уведомляются через сайт (баннер/уведомление в личном кабинете) не менее чем за 10 дней до вступления изменений в силу.
14.4. Ответственность за соблюдение Политики несут все работники Оператора, имеющие доступ к ПДн. Ответственность за нарушение ФЗ № 152 — по ст. 13.11 КоАП РФ и иным нормам законодательства.
14.5. Контроль за соблюдением Политики осуществляет Ответственный за обработку ПДн.
Приложения
- Приложение № 1. Форма согласия на обработку ПДн клиента (отдельный документ)
- Приложение № 2. Форма согласия на передачу ПДн третьим лицам (отдельный документ)
- Приложение № 3. Форма согласия на обработку ПДн работника (отдельный документ)
- Приложение № 4. Форма согласия на обработку cookie (отдельный документ)
- Приложение № 5. Форма согласия на маркетинговую рассылку (отдельный документ)
- Приложение № 6. Лист ознакомления работников с Политикой
- Приложение № 7. Акт определения уровня защищенности ИСПДн
- Приложение № 8. Акт об уничтожении персональных данных
- Рекомендуемое (внутреннее, не публикуется): Положение об обработке персональных данных (внутренний документ, детализирующий процедуры)