Политика конфиденциальности в отношении обработки персональных данных АО «Новая Мода»

1.1. Настоящая Политика конфиденциальности в отношении обработки персональных данных (далее – Политика) определяет общие принципы и порядок обработки персональных данных (далее – ПДн) и меры по обеспечению их безопасности в Акционерном обществе «Новая Мода» (ОГРН 1027700429690, ИНН 7707099460), зарегистрированном по адресу 123112, г. Москва, наб. Пресненская, д. 10, (далее – Общество).

1.2. Целью Политики является обеспечение защиты прав и свобод человека и гражданина при обработке его ПДн, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну, четкое и неукоснительное соблюдение требований законодательства Российской Федерации и международных договоров Российской Федерации в области ПДн.

1.3. Политика разработана с учетом требований Конституции Российской Федерации, в соответствии с Федеральным законом от 27.07.2006 г. №152-ФЗ «О персональных данных» (далее – Федеральный закон 152-ФЗ), Федеральным законом от 27.07.2006 №149-ФЗ «Об информации, информационных технологиях и о защите информации», и другими федеральными законами, и подзаконными актами, определяющими случаи и особенности обработки ПДн.

1.4. В Политике используются следующие термины и определения:

1.5. Субъект ПДн имеет право:

1.5.1. Получать информацию, касающуюся обработки его ПДн.

1.5.2. Требовать от Общества прекращения обработки своих ПДн, их уточнения блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, недостоверными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также вправе принимать предусмотренные законодательством меры по защите своих прав.

1.5.3. В любой момент отозвать свое согласие на обработку ПДн Обществом.

1.6. Обязанности Общества:

1.6.1. Общество обязано предоставить субъекту ПДн или его представителю сведения, предусмотренные действующим законодательством.

1.6.2. В случае выявления неправомерной обработки ПДн при обращении субъекта ПДн или его представителя либо по запросу субъекта ПДн или его представителя, либо Роскомнадзора Общество обязано осуществить блокирование неправомерно обрабатываемых ПДн, относящихся к этому субъекту ПДн, или обеспечить их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки.

1.6.3. В случае выявления неточных ПДн при обращении субъекта ПДн или его представителя либо по их запросу или по запросу Роскомнадзора оператор обязан осуществить блокирование ПДн, относящихся к субъекту ПДн, или обеспечить их блокирование (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) с момента такого обращения или получения указанного запроса на период проверки, если блокирование ПДн не нарушает права и законные интересы субъекта ПДн или третьих лиц.

1.6.4. В случае подтверждения факта неточности ПДн оператор на основании сведений, представленных субъектом ПДн или его представителем либо Роскомнадзором, или иных необходимых документов обязан уточнить ПДн либо обеспечить их уточнение (если обработка ПДн осуществляется другим лицом, действующим по поручению оператора) в течение 7 (семи) рабочих дней со дня представления таких сведений и снять блокирование ПДн.

1.6.5. В случае выявления неправомерной обработки ПДн, осуществляемой оператором или лицом, действующим по поручению оператора, оператор в срок, не превышающий 3 (трех) рабочих дней с даты этого выявления, обязан прекратить неправомерную обработку ПДн или обеспечить прекращение неправомерной обработки ПДн лицом, действующим по поручению оператора. В случае, если обеспечить правомерность обработки ПДн невозможно, оператор в срок, не превышающий 10 (десяти) рабочих дней с даты выявления неправомерной обработки ПДн, обязан уничтожить такие ПДн или обеспечить их уничтожение. Об устранении допущенных нарушений или об уничтожении ПДн оператор обязан уведомить субъекта ПДн или его представителя, а в случае, если обращение субъекта ПДн или его представителя либо запрос Роскомнадзора были направлены Роскомнадзором, также указанный орган.

1.6.6. Общество проводит и документально оформляет в соответствии с требованиями, установленными Роскомнадзором, оценку вреда, который может быть причинен субъектам ПДн в случае нарушения Федерального закона 152-ФЗ с целью соотнесения указанного вреда и принимаемых Обществом мер, направленных на обеспечение выполнения обязанностей, предусмотренных Федерального закона 152-ФЗ.

2.1. Обработка ПДн Обществом осуществляется в соответствии со следующими принципами:

2.1.1. Законность и справедливая основа обработки ПДн. Общество принимает все необходимые меры по выполнению требований законодательства, не обрабатывает ПДн в случаях, когда это не допускается законодательством и не требуется для достижения определенных Обществом целей, не использует ПДн во вред субъектам ПДн.

2.1.2. Ограничение обработки ПДн достижением конкретных, заранее определённых и законных целей.

2.1.3. Обработка только тех ПДн, которые отвечают заранее объявленным целям их обработки; соответствие содержания и объёма обрабатываемых ПДн заявленным целям обработки; недопущение обработки ПДн, не совместимой с целями сбора ПДн, а также избыточных по отношению к заявленным целям обработки ПДн. Общество не собирает и не обрабатывает ПДн, не требующиеся для достижения целей, указанных настоящей Политике, не использует ПДн субъектов в каких-либо целях, кроме указанных.

2.1.4. Недопущение объединения баз данных, содержащих ПДн, обработка которых осуществляется в целях, не совместимых между собой.

2.1.5. Обеспечение точности, достаточности и актуальности ПДн по отношению к целям обработки ПДн. Общество принимает все разумные меры по поддержке актуальности обрабатываемых ПДн, включая (без ограничения) реализацию права каждого субъекта получать для ознакомления свои ПДн и требовать от Общества их уточнения, блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленных выше целей обработки без объяснения причин такого требования.

2.1.6. Хранение ПДн в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем, по которому является субъект ПДн.

2.1.7. Уничтожение ПДн по достижении заявленных целей их обработки или в случае утраты необходимости в достижении этих целей, при невозможности устранения Обществом допущенных нарушений установленного законодательством порядка обработки ПДн, отзыве согласия на обработку субъектом ПДн, истечении срока обработки ПДн, установленных согласием на обработку ПДн, если иное не предусмотрено законодательством.

3.1. Цели обработки ПДн, категории и перечень обрабатываемых ПДн, категории субъектов, ПДн которых обрабатываются, способы, сроки их обработки и хранения, порядок уничтожения ПДн при достижении целей их обработки или при наступлении иных законных оснований определены Приложением №1 к настоящей Политике.

4.1 Общество осуществляет:

4.2 Обработка ПДн может включать в себя, в том числе: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ, распространение), блокирование, удаление, уничтожение.

4.3 Обработка ПДн Обществом допускается в следующих случаях:

4.3.1 С согласия субъекта ПДн на обработку его ПДн.

4.3.2 Обработка ПДн необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей.

4.3.3 Обработка ПДн необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект ПДн, а также для заключения договора по инициативе субъекта ПДн или договора, по которому субъект ПДн будет являться выгодоприобретателем или поручителем.

4.3.4 Обработка ПДн необходима для осуществления прав и законных интересов оператора или третьих лиц, либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта ПДн.

4.3.5 Осуществляется обработка ПДн, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

4.4 Общество не раскрывает третьим лицам ПДн без согласия субъекта ПДн, если иное не предусмотрено законодательством.

4.5 Общество осуществляет распространение ПДн на основании отдельного согласия субъекта ПДн. Согласие на обработку ПДн, разрешенных субъектом ПДн для распространения, оформляется отдельно от иных согласий субъекта ПДн на обработку его ПДн.

4.6 Органам государственной власти, включая органы дознания и следствия, Федеральную налоговую службу, Пенсионный фонд Российской Федерации, Фонд социального страхования и другие уполномоченные органы исполнительной власти ПДн предоставляются (передаются) в соответствии с требованиями законодательства Российской Федерации.

4.7 Общество не осуществляет обработку биометрических ПДн.

4.8 При сборе ПДн, в том числе, посредством информационно-телекоммуникационной сети «Интернет», Общество обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн с использованием баз данных, находящихся на территории Общества (в Российской Федерации) и в дата-центрах на территории Российской Федерации.

4.9 Общество вправе осуществлять трансграничную передачу ПДн в соответствии с процедурой, установленной действующим законодательством, при условии выполнения требований статьи 12 Федерального закона 152-ФЗ.

4.10 Оператор осуществляет обработку информации о пользователе сайтов Оператора (полученной с помощью файлов cookie и сервисов сбора технических данных) в целях, определенных Приложением №1 к настоящей Политике.

4.11 Оператор не осуществляет сопоставление и (или) объединение (связывание) технической информации пользователя сайта с находящимися в распоряжении Оператора ПДн и (или) иными сведениями.

4.12 Уничтожение ПДн должно исключать возможность их восстановления программными или физическими методами.

4.13 Порядок уничтожения ПДн определен в Приложении №1 к настоящей Политике. Подтверждение факта уничтожения персональных данных осуществляется в соответствии с требованиями, установленными Роскомнадзором.

5.1. Работниками Общества, получившими доступ к ПДн, должна быть обеспечена конфиденциальность таких данных.

5.2. Общество вправе с согласия субъекта поручить обработку ПДн другому лицу, если иное не предусмотрено законодательством, на основании заключаемого с этим лицом договора, предусматривающего в качестве существенного условия обязанность лица, осуществляющего обработку ПДн по поручению Общества, соблюдать принципы, правила обработки ПДн и требования к обработке, предусмотренные законодательством. В поручении оператора должны быть выполнены все требования, предусмотренные частью 3 статьи 6 Федерального закона 152-ФЗ.

5.3. Общество вправе разместить свои информационные системы ПДн в дата-центре (облачной вычислительной инфраструктуре). В этом случае в договор с дата-центром (провайдером облачных услуг) в качестве существенного условия может включаться требование о запрете доступа персонала дата-центра к информационным системам ПДн Общества, размещаемых в дата-центре (облачной инфраструктуре).

6.1. Субъект ПДн принимает решение о предоставлении своих ПДн Обществу и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку ПДн должно быть конкретным, предметным, информированным, сознательным и однозначным и может предоставляться субъектом в любой позволяющей подтвердить факт его получения форме, если иное не установлено законодательством.

6.2. В случаях, предусмотренных федеральным законом, обработка ПДн осуществляется только с согласия в письменной форме субъекта ПДн. Равнозначным содержащему собственноручную подпись субъекта ПДн согласию в письменной форме на бумажном носителе является согласие в форме электронного документа, подписанного электронной подписью в соответствии с законодательством об электронной подписи.

6.3. Согласие субъектов на предоставление их ПДн не требуется при получении Обществом, в рамках установленных полномочий, мотивированных запросов от органов прокуратуры, правоохранительных органов, органов следствия и дознания, органов безопасности, от государственных инспекторов труда при осуществлении ими государственного надзора и контроля за соблюдением трудового законодательства, и иных органов, уполномоченных запрашивать информацию в соответствии с компетенцией, предусмотренной законодательством.

7.1. Безопасность ПДн, обрабатываемых Обществом, обеспечивается принятием правовых, организационных и технических мер, необходимых и достаточных для обеспечения требований законодательства в области защиты ПДн.

7.2. Правовые меры, принимаемые Обществом, включают:

7.3. Организационные меры, принимаемые Обществом, включают:

7.4. Технические меры, принимаемые Обществом, включают:

7.5. При размещении информационной системы в дата-центре (облачной инфраструктуре) часть мер безопасности может быть принята дата-центром (провайдером облачных услуг), что отражается в договоре между Обществом и дата-центром (провайдером облачных услуг).

8.1. Иные обязанности и права Общества как оператора ПДн и лица, организующего их обработку по поручению других операторов, определяются законодательством Российской Федерации в области ПДн.

8.2. Должностные лица и работники Общества, виновные в нарушении норм, регулирующих обработку и защиту ПДн, несут материальную, дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.

8.3. Политика пересматривается по мере необходимости. Обязательный пересмотр Политики проводится в случае существенных изменений международного или законодательства Российской Федерации в сфере ПДн. При внесении изменений в Политику учитываются:

8.4. Во исполнение требований части 2 статьи 18.1 Федерального закона 152-ФЗ Политика публикуется в свободном доступе на всех страницах принадлежащих Оператору сайтов (или используемых Оператором сайтов) в информационно-телекоммуникационной сети Интернет, с использованием которых осуществляется сбор ПДн.