Политика обработки персональных данных

1. Определения и сокращения

1.1 Основные понятия, используемые в настоящем документе:

1.1.1 "Персональные данные" - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

1.1.2 "Оператор (по 152-ФЗ)" - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

1.1.3 "Обработка персональных данных" - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

1.1.4 "Автоматизированная обработка персональных данных" - обработка персональных данных с помощью средств вычислительной техники.

1.1.5 "Распространение персональных данных" - действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

1.1.6 "Предоставление персональных данных" - действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

1.1.7 "Блокирование персональных данных" - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

1.1.8 "Уничтожение персональных данных" - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

1.1.9 "Обезличивание персональных данных" - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

1.1.10 "Информационная система персональных данных" - совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

1.1.11 "Материальный носитель" - машиночитаемый носитель информации (в том числе магнитный и электронный), на котором осуществляются запись и хранение сведений.

1.1.12 "Cookie-файлы" - небольшие текстовые файлы, которые хранятся на устройстве пользователя или на серверах и могут содержать информацию о посещении сайта и настройках пользователя.

1.1.13 "Трансграничная передача персональных данных" - передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

1.2 Если из контекста не следует иное, термины и определения, используемые в настоящем документе с заглавной буквы, имеют следующие значения:

1.2.1 "Субъект ПД" - физическое лицо, ПД которого обрабатываются Оператором или по его поручению.

1.2.2 "Оператор" - AIFlowPoint.

1.2.3 "ПД" - персональные данные.

1.2.4 "ТПД" - трансграничная передача ПД.

1.2.5 "ИСПД" - информационная система ПД.

1.2.6 "СОПД" - согласие на обработку персональных данных.

1.2.7 "Политика" - настоящая Политика AIFlowPoint в отношении обработки ПД.

1.2.8 "РФ" - Российская Федерация.

1.2.9 "Сайт" - сайт AIFlowPoint в сети "Интернет", функционирующий в интересах Оператора и используемый Оператором для взаимодействия с заинтересованными лицами.

1.2.10 "Законодательство о ПД" - совокупность нормативных правовых актов, регулирующих правила обработки ПД в РФ.

1.3 Термины и определения, используемые в Политике, значения которых не указаны в настоящем разделе, применяются и толкуются в соответствии с действующим законодательством РФ.

2. Общие положения

2.1 Оператор уделяет пристальное внимание соблюдению принципов законности, справедливости и конфиденциальности при обработке ПД, а также обеспечению безопасности процессов их обработки.

2.2 Политика разработана в соответствии с требованиями Законодательства о ПД и определяет принципы обработки и обеспечения Оператором безопасности ПД.

2.3 Целями Политики являются:

2.3.1 обеспечение защиты прав и свобод человека и гражданина;

2.3.2 защита прав на неприкосновенность частной жизни, личную и семейную тайну, а также установление ответственности лиц, имеющих доступ к ПД, за невыполнение требований, регулирующих обработку и защиту ПД.

2.4 Политика разработана в соответствии с:

2.4.1 Конституцией РФ (принята всенародным голосованием 12.12.1993);

2.4.2 Федеральным законом от 19.12.2005 № 160-ФЗ "О ратификации Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных";

2.4.3 Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных";

2.4.4 Федеральным законом от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации";

2.4.5 приказом Роскомнадзора от 24.02.2021 № 18 "Об утверждении требований к содержанию согласия на обработку персональных данных, разрешенных субъектом персональных данных для распространения";

2.4.6 Рекомендациями по составлению документа, определяющего политику оператора в отношении обработки персональных данных, в порядке, установленном Федеральным законом от 27.07.2006 № 152-ФЗ "О персональных данных";

2.4.7 иными нормативными правовыми актами, действующими на момент применения Политики.

2.5 Политика раскрывает способы и принципы обработки Оператором ПД, права и обязанности Оператора, права Субъектов ПД, а также перечень мер, применяемых Оператором для обеспечения безопасности ПД при их обработке.

2.6 Политика является общедоступным документом, определяющим основы деятельности Оператора при обработке и защите ПД.

2.7 Оператор имеет право:

2.7.1 самостоятельно определять состав и перечень мер, необходимых и достаточных для выполнения обязанностей, предусмотренных Законодательством о ПД, если иное не предусмотрено законодательством РФ;

2.7.2 поручить обработку ПД другому лицу с согласия Субъекта ПД, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку ПД по поручению Оператора, обязано соблюдать принципы и правила обработки ПД, конфиденциальность ПД и принимать необходимые меры безопасности;

2.7.3 в случае отзыва Субъектом ПД СОПД продолжить обработку ПД без согласия при наличии иных оснований, установленных Законодательством о ПД.

2.8 Оператор обязан:

2.8.1 организовывать обработку ПД в соответствии с Законодательством о ПД;

2.8.2 отвечать на обращения и запросы Субъектов ПД и их законных представителей в соответствии с требованиями Законодательства о ПД;

2.8.3 сообщать уполномоченному органу по защите прав Субъектов ПД по запросу этого органа необходимую информацию в установленные сроки;

2.8.4 в установленном порядке обеспечивать взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы РФ, включая информирование о компьютерных инцидентах, повлекших неправомерную передачу (предоставление, распространение, доступ) ПД.

2.9 Субъект ПД имеет право:

2.9.1 получать информацию, касающуюся обработки его ПД, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются в доступной форме и не должны содержать ПД других Субъектов ПД, если отсутствуют законные основания для их раскрытия;

2.9.2 получать доступ к своим ПД, включая копию записи, содержащей его ПД, за исключением случаев, предусмотренных законодательством;

2.9.3 требовать уточнения, блокирования или уничтожения своих ПД, если они являются неполными, устаревшими, неточными, незаконно полученными либо не являются необходимыми для заявленной цели обработки;

2.9.4 обжаловать неправомерные действия или бездействие Оператора в уполномоченном органе по защите прав Субъектов ПД или в судебном порядке.

3. Принципы и правила обработки персональных данных

3.1 Обработка ПД осуществляется Оператором на основе следующих принципов:

3.1.1 наличие законных и справедливых оснований для обработки ПД;

3.1.2 ограничение обработки ПД достижением конкретных, заранее определенных и законных целей;

3.1.3 недопущение объединения баз данных, содержащих ПД, обработка которых осуществляется в несовместимых целях;

3.1.4 обработка только тех ПД, которые отвечают целям их обработки;

3.1.5 соответствие содержания и объема обрабатываемых ПД заявленным целям обработки и недопущение избыточности;

3.1.6 обеспечение точности ПД, их достаточности и, при необходимости, актуальности по отношению к целям обработки;

3.1.7 хранение ПД в форме, позволяющей определить Субъекта ПД, не дольше, чем этого требуют цели обработки, если иной срок не установлен законодательством РФ или договором. ПД подлежат уничтожению либо обезличиванию по достижении целей обработки или при утрате необходимости в их достижении, если иное не предусмотрено федеральным законом.

4. Правовые основания обработки персональных данных

4.1 Правовыми основаниями обработки ПД являются:

4.1.1 совокупность нормативных правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет обработку ПД, в том числе:

I. Конституция РФ (принята всенародным голосованием 12.12.1993);

II. Федеральный закон от 27.07.2006 № 149-ФЗ "Об информации, информационных технологиях и о защите информации";

III. иные федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора.

4.1.2 договоры, заключаемые между Оператором и Субъектами ПД;

4.1.3 СОПД Субъекта ПД;

4.1.4 иные основания, предусмотренные частью 1 статьи 6 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных".

5. Цели обработки ПД, объем и категории обрабатываемых ПД, категории субъектов ПД

5.1 Обработка ПД ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПД, несовместимая с целями их сбора.

5.2 Цели обработки ПД определяются с учетом требований законодательства РФ, фактически осуществляемой Оператором деятельности и конкретных процессов обработки ПД.

5.3 В Приложении № 1 к Политике указаны цели обработки ПД, категории Субъектов ПД, категории и перечни ПД, действия с ПД, правовые основания, способы и сроки обработки.

6. Сбор персональных данных

6.1 Сбор ПД осуществляется непосредственно у Субъекта ПД. Если предоставление ПД и (или) получение Оператором СОПД являются обязательными в соответствии с законодательством РФ, Субъекту ПД разъясняются юридические последствия отказа в предоставлении ПД.

6.2 При сборе ПД, в том числе посредством информационно-телекоммуникационной сети "Интернет", обеспечиваются запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение ПД граждан РФ с использованием баз данных, находящихся на территории РФ.

7. Хранение персональных данных

7.1 Хранение ПД осуществляется в форме, позволяющей определить Субъекта ПД, не дольше, чем этого требуют цели обработки ПД, если иной срок не установлен законодательством РФ либо договором, стороной которого является Субъект ПД.

7.2 Хранение ПД осуществляется с учетом обеспечения режима их конфиденциальности.

7.3 Срок хранения ПД, обрабатываемых в ИСПД, соответствует сроку хранения соответствующих ПД на иных носителях, если такие носители используются.

7.4 ПД уничтожаются либо обезличиваются по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено законодательством РФ либо договором, стороной которого является Субъект ПД.

8. Передача персональных данных

8.1 Передача ПД третьему лицу осуществляется только с согласия Субъекта ПД или в случаях, прямо предусмотренных законодательством РФ.

8.2 Передача ПД органу государственной власти, органу местного самоуправления, органу безопасности и правопорядка, государственному учреждению, фонду или иному уполномоченному органу допускается по основаниям, предусмотренным законодательством РФ.

8.3 Раскрытие ПД третьему лицу без согласия Субъекта ПД не допускается, за исключением случаев, когда это необходимо для защиты жизни, здоровья или иных жизненно важных интересов Субъекта ПД либо предусмотрено законом.

8.4 Раскрытие ПД третьему лицу в коммерческих целях без согласия Субъекта ПД запрещено. Обработка ПД в целях продвижения товаров, работ или услуг осуществляется только при условии предварительного согласия Субъекта ПД.

8.5 В целях, установленных Политикой, Оператор вправе поручать обработку ПД третьим лицам на основании договора и при соблюдении требований Законодательства о ПД.

8.6 Лица, обрабатывающие ПД по поручению Оператора, обязаны принимать необходимые меры конфиденциальности и безопасности в соответствии с требованиями Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных".

9. Трансграничная передача персональных данных

9.1 До начала ТПД Оператор проверяет условия, предусмотренные Законодательством о ПД, включая наличие надлежащей защиты прав Субъектов ПД в государстве, на территорию которого предполагается передача.

9.2 До начала деятельности по ТПД Оператор уведомляет уполномоченный орган по защите прав Субъектов ПД о намерении осуществлять ТПД в случаях и порядке, установленных законодательством РФ.

9.3 ТПД осуществляется только после выполнения требований Законодательства о ПД и с учетом решений уполномоченного органа по защите прав Субъектов ПД.

9.4 Если законные условия для ТПД отсутствуют, Оператор не осуществляет такую передачу.

10. Распространение персональных данных

10.1 Обработка ПД, разрешенных Субъектом ПД для распространения, осуществляется с соблюдением требований Законодательства о ПД.

10.2 СОПД, разрешенных Субъектом ПД для распространения, оформляется отдельно от иных согласий. Оператор обеспечивает Субъекту ПД возможность определить перечень ПД по каждой категории ПД, указанной в таком согласии.

10.3 Субъект ПД вправе установить запреты на передачу этих ПД неограниченному кругу лиц, а также запреты или условия их обработки неограниченным кругом лиц.

11. Обработка персональных данных на сайте оператора

11.1 Во время посещения Субъектами ПД Сайта и использования его функционала возможен пассивный сбор технической информации пользовательских устройств с использованием различных технологий, включая Cookie-файлы. Это связано с особенностями функционирования сети "Интернет" и доступа к размещенным в ней информационным ресурсам.

11.2 Субъекты ПД могут отказаться принимать Cookie-файлы Сайта с использованием настроек своего браузера. Это может ограничить работу отдельных технических функций Сайта.

11.3 Политика не регулирует порядок обработки и защиты ПД на сайтах, в приложениях и иных веб-объектах третьих лиц, доступных через Сайт или указанных на Сайте в виде ссылок.

12. Условия и порядок прекращения обработки персональных данных

12.1 Оператор прекращает обработку ПД в следующих случаях:

12.1.1 достижение целей обработки ПД и максимальных сроков хранения ПД;

12.1.2 утрата необходимости в достижении целей обработки ПД;

12.1.3 предоставление Субъектом ПД или его законным представителем сведений, подтверждающих, что ПД являются незаконно полученными или не являются необходимыми для заявленной цели обработки;

12.1.4 невозможность обеспечения правомерности обработки ПД;

12.1.5 отзыв Субъектом ПД СОПД, если сохранение ПД более не требуется для целей обработки ПД;

12.1.6 требование Субъекта ПД о прекращении обработки ПД, за исключением случаев, предусмотренных законодательством;

12.1.7 истечение сроков исковой давности для правоотношений, в рамках которых осуществляется или осуществлялась обработка ПД;

12.1.8 прекращение деятельности Оператора;

12.1.9 иные случаи, предусмотренные Законодательством о ПД.

12.2 Уничтожение ПД производится способом, исключающим возможность их восстановления. Если ПД невозможно уничтожить без повреждения материального носителя, препятствующего его дальнейшему использованию, уничтожению подлежат ПД и материальный носитель.

12.3 Подтверждение факта уничтожения ПД осуществляется в соответствии с требованиями уполномоченного органа по защите прав Субъектов ПД.

13. Порядок взаимодействия с субъектами персональных данных

13.1 Оператор сообщает Субъекту ПД или его представителю информацию о наличии ПД, относящихся к соответствующему Субъекту ПД, а также предоставляет возможность ознакомления с этими ПД при обращении либо в течение десяти рабочих дней с даты получения запроса.

13.2 Оператор безвозмездно предоставляет Субъекту ПД или его представителю сведения, относящиеся к этому Субъекту ПД, в том числе:

13.2.1 подтверждение факта обработки ПД;

13.2.2 правовые основания и цели обработки ПД;

13.2.3 цели и применяемые способы обработки ПД;

13.2.4 сведения об Операторе и о лицах, имеющих доступ к ПД или которым ПД могут быть раскрыты на основании договора с Оператором или законодательства РФ;

13.2.5 перечень обрабатываемых ПД, относящихся к Субъекту ПД, и источник их получения;

13.2.6 сроки обработки ПД и сроки их хранения;

13.2.7 порядок осуществления Субъектом ПД прав, предусмотренных законодательством РФ;

13.2.8 информацию об осуществленной или предполагаемой ТПД;

13.2.9 сведения о лице, осуществляющем обработку ПД по поручению Оператора, если обработка поручена третьему лицу;

13.2.10 информацию о способах исполнения Оператором обязанностей, установленных статьей 18.1 Федерального закона от 27.07.2006 № 152-ФЗ "О персональных данных".

13.3 Субъект ПД вправе требовать уточнения или изменения его ПД, их блокирования или уничтожения, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

13.4 Субъект ПД или его представитель запрашивает сведения, указанные в пункте 13.2, и (или) направляет требования, указанные в пункте 13.3, путем подачи запроса, содержащего сведения, предусмотренные пунктом 13.5.

13.5 Запрос Субъекта ПД или его представителя должен содержать:

13.5.1 описание запрашиваемой информации или требований Субъекта ПД;

13.5.2 сведения, необходимые и достаточные для подтверждения личности Субъекта ПД или его представителя;

13.5.3 сведения, позволяющие установить факт обработки ПД Оператором;

13.5.4 подпись Субъекта ПД или его представителя либо иной способ подтверждения волеизъявления, допустимый законодательством РФ.

13.6 В срок, не превышающий семи рабочих дней со дня предоставления сведений, подтверждающих, что ПД являются неполными, неточными или неактуальными, Оператор вносит необходимые изменения.

13.7 Оператор уведомляет Субъекта ПД или его представителя о внесенных изменениях и принятых мерах, а также принимает разумные меры для уведомления третьих лиц, которым ПД были переданы.

13.8 При выявлении неправомерной обработки ПД Оператор блокирует соответствующие ПД с момента обращения Субъекта ПД, его представителя или уполномоченного органа.

13.9 При подтверждении неточности ПД Оператор уточняет ПД либо обеспечивает их уточнение в течение семи рабочих дней со дня представления необходимых сведений и снимает блокирование ПД.

13.10 Субъект ПД вправе отозвать свое СОПД путем подачи письменного обращения, содержащего ФИО, сведения, позволяющие идентифицировать Субъекта ПД и факт отношений с Оператором, а также подпись или иной допустимый способ подтверждения волеизъявления.

13.11 После отзыва СОПД Оператор прекращает обработку ПД или обеспечивает ее прекращение и, если сохранение ПД более не требуется для целей обработки, уничтожает ПД или обеспечивает их уничтожение в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено законодательством, договором или соглашением с Субъектом ПД.

13.12 Обращение (запрос) может быть направлено лично по предварительной договоренности с Оператором, по email hello@aiflowpoint.tech или через Telegram: @AIFlowPoint_alex.

14. Выполнение предусмотренных законодательством обязанностей

14.1 Для выполнения обязанностей, предусмотренных Законодательством о ПД, Оператор принимает следующие меры:

14.1.1 определение лиц, допущенных к обработке ПД, и их обязанностей, если такие лица привлекаются;

14.1.2 принятие и актуализация документов, определяющих политику и процедуры обработки ПД, направленных на предотвращение и выявление нарушений законодательства РФ и устранение их последствий;

14.1.3 применение правовых, организационных и технических мер по обеспечению безопасности ПД;

14.1.4 осуществление контроля соответствия обработки ПД требованиям законодательства РФ;

14.1.5 оценка вреда, который может быть причинен Субъектам ПД в случае нарушения законодательства РФ;

14.1.6 ознакомление лиц, непосредственно осуществляющих обработку ПД, с требованиями законодательства РФ и документами Оператора.

15. Защита персональных данных

15.1 Оператор принимает необходимые правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа, уничтожения, изменения, блокирования, распространения и иных несанкционированных действий, в том числе:

15.1.1 определение угроз безопасности ПД при их обработке в ИСПД;

15.1.2 применение организационных и технических мер, обеспечивающих выполнение требований к установленным уровням защищенности ПД;

15.1.3 оценка эффективности мер по обеспечению безопасности ПД;

15.1.4 обнаружение фактов несанкционированного доступа к ПД и реагирование на такие инциденты;

15.1.5 восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа;

15.1.6 установление правил доступа к ПД, обрабатываемым в ИСПД;

15.1.7 регистрация и учет действий, совершаемых с ПД в ИСПД, в применимых случаях;

15.1.8 контроль принимаемых мер по обеспечению безопасности ПД.

16. Ответственность

16.1 Лица, виновные в нарушении требований в области обработки и защиты ПД, несут ответственность в соответствии с законодательством РФ.

17. Заключительные положения

17.1 К Политике обеспечивается неограниченный доступ всех заинтересованных лиц, включая Субъектов ПД и органы власти, осуществляющие контрольно-надзорные функции в области ПД.

17.2 Электронная версия действующей редакции Политики публикуется на Сайте.

17.3 Оператор вправе по мере необходимости вносить изменения в Политику. Измененная редакция применяется с момента ее опубликования на Сайте, если иное не указано в новой редакции.

17.4 Политика пересматривается по мере внесения изменений:

17.4.1 в нормативные правовые акты РФ в сфере ПД;

17.4.2 в процессы и документы Оператора, регулирующие обработку и обеспечение безопасности ПД.

Приложение № 1. Перечень целей обработки, категорий обрабатываемых персональных данных, категорий субъектов персональных данных

Цель обработки ПД: Осуществление безопасного и продуктивного взаимодействия с заинтересованными лицами посредством Сайта.
Включает следующие виды деятельности по обработке ПД: информационное и организационное взаимодействие с заинтересованными лицами, включая прием и обработку обращений, уточнение задачи, подготовку ответа и предложения, информационную поддержку и управление качеством такого взаимодействия
проверка прикрепленных файлов средствами информационной безопасности до их использования Оператором
Категории субъектов ПД: пользователи Сайта и лица, направившие обращение Оператору
Категории ПД: общие ПД
Перечень ПД: имя
сведения о компании или месте работы, если они указаны
выбранный способ связи
адрес электронной почты и (или) имя пользователя в Telegram
тип задачи
содержание обращения и краткое описание задачи
ссылка на материалы, если она указана
содержание прикрепленного файла и его технические сведения, включая имя, тип, размер и контрольную сумму, если файл приложен
Cookie-файлы посетителей Сайта
IP-адрес в объеме, необходимом для защиты формы от злоупотреблений, без постоянного хранения
Действия (операции), совершаемые с ПД: сбор
запись
систематизация
накопление
хранение
уточнение (обновление, изменение)
извлечение
использование
блокирование
удаление
уничтожение
Правовое основание обработки ПД: согласие Субъекта ПД на обработку ПД
Способы обработки ПД: смешанный способ (с использованием средств автоматизации и без использования средств автоматизации)
Сроки обработки (в том числе хранения) ПД: в течение срока действия согласия Субъекта ПД на обработку ПД
хранение отдельных документов, содержащих ПД, может осуществляться в течение срока, установленного применимыми правилами хранения документов в зависимости от их вида