Политика ООО «ЭТО ПЛАТЕЖИ»
в отношении обработки
персональных данных
1. Общие положения
1.1. Настоящая Политика обработки персональных данных (далее – Политика) является документом, определяющим политику в ОБЩЕСТВЕ С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ «ЭТО ПЛАТЕЖИ» (далее – Оператор) в отношении обработки персональных данных.
1.2. Оператор:
Наименование: ОБЩЕСТВО С ОГРАНИЧЕННОЙ ОТВЕТСТВЕННОСТЬЮ (ООО «ЭТО ПЛАТЕЖИ»)
ИНН: 7717650929
Адрес: 127015, Г.МОСКВА, ВН.ТЕР.Г. МУНИЦИПАЛЬНЫЙ ОКРУГ БУТЫРСКИЙ, УЛ НОВОДМИТРОВСКАЯ, Д. 2, К. 1, ПОМЕЩ. 2/19
1.3. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – Закон о персональных данных), и другими нормативно-правовыми актами, регулирующими отношения в сфере защиты персональных данных.
1.4. Во исполнение требований ч. 2 ст. 18.1 Закона о персональных данных Политика публикуется в свободном доступе в информационно-телекоммуникационной сети Интернет на Сайте Оператора по адресу: https://etoplatezhi.ru/privacy-policy/.
1.5. К Субъектам персональных данных, на которых распространяется действие настоящей Политики, относятся клиенты и контрагенты Оператора (физические лица) и представители клиентов и контрагентов Оператора (юридических лиц), посетители сайта https://etoplatezhi.ru/.
1.6. Действие настоящей Политики не распространяется на отношения, возникающие при:
- организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда Российской Федерации и других архивных фондов в соответствии с законодательством об архивном деле в Российской Федерации;
- обработке персональных данных, отнесенных в установленном порядке к сведениям, составляющим государственную тайну.
1.7. В настоящей Политике используются термины и определения в соответствиис их значениями, закрепленными в Законе о персональных данных.
2. Цели обработки персональных данных, перечень обрабатываемых персональных данных, категории субъектов персональных данных. Правовые основания обработки
2.1. Обработка персональных данных осуществляется Оператором в целях, указанных в Приложении № 1 к настоящей Политике.
2.2. Обработка биометрических персональных данных, специальных категорий персональных данных, касающихся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни, Оператором не осуществляется.
2.3. Правовым основанием обработки персональных данных является совокупность правовых актов, во исполнение которых и в соответствии с которыми Оператор осуществляет такую обработку. К ним относятся:
Конституция Российской Федерации;
- Гражданский кодекс Российской Федерации;
- Федеральный закон от 08.02.1998 № 14-ФЗ «Об обществах с ограниченной ответственностью»;
- иные федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью Оператора;
- устав Оператора;
- договоры, заключаемые между Оператором и Субъектами персональных данных;
- согласие Субъекта персональных данных на обработку его персональных данных (вслучаях, прямо не предусмотренных законодательством Российской Федерации, носоответствующих полномочиям Оператора).
3. Основные права и обязанности Оператора
3.1. Оператор имеет право:
- получать от Субъекта персональных данных достоверные информацию и/или документы, содержащие персональные данные;
- требовать от Субъекта персональных данных своевременного уточнения предоставленных персональных данных;
- в случае отзыва Субъектом персональных данных согласия на обработку персональных данных продолжить обработку персональных данных без согласия Субъекта персональных данных при наличии оснований, указанных в Законе о персональных данных;
- самостоятельно определять состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных Законом о персональных данных и принятыми в соответствии с ним нормативно-правовыми актами, если иное не предусмотрено Законом о персональных данных или другими федеральными законами;
- в порядке ст. 6 Закона о персональных данных поручить обработку персональных данных третьему лицу с согласия Субъекта персональных данных;
- исполнять иные обязанности, предусмотренные Законом о персональных данных.
3.2. Оператор обязан:
- предоставлять Субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных;
- организовывать обработку и защиту персональных данных в порядке, установленном действующим законодательством Российской Федерации;
- рассматривать обращения и запросы Субъектов персональных данных и их представителей и давать мотивированные ответы;
- сообщать в уполномоченный орган по защите прав Субъектов персональных данных по запросу этого органа необходимую информацию в течение 10 дней с даты получения такого запроса;
- публиковать или иным образом обеспечивать неограниченный доступ к настоящей Политике в отношении обработки персональных данных;
- принимать правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных;
- прекратить передачу (предоставление, доступ) персональных данных, прекратить обработку и уничтожить персональные данные в порядке и случаях, предусмотренных Законом о персональных данных;
- исполнять иные обязанности, предусмотренные Законом о персональных данных.
4. Основные права и обязанности Субъекта персональных данных
4.1. Субъект персональных данных имеет право:
- получать информацию, касающуюся обработки его персональных данных, за исключением случаев, предусмотренных федеральными законами. Сведения предоставляются Субъекту персональных данных Оператором в доступной форме, и в них не должны содержаться персональные данные, относящиеся к другим Субъектам персональных данных, за исключением случаев, когда имеются законные основания для раскрытия таких персональных данных. Перечень информации и порядок ее получения установлен Законом о персональных данных;
- требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав;
- выдвигать условие предварительного согласия при обработке персональных данных в целях продвижения на рынке товаров, работ и услуг;
- отозвать согласие на обработку персональных данных;
- направить требование о прекращении обработки персональных данных;
- обжаловать в уполномоченный орган по защите прав Субъектов персональных данных или в судебном порядке неправомерные действия или бездействие Оператора при обработке его персональных данных;
- осуществлять иные права, предусмотренные законодательством Российской Федерации;
- иные права, предусмотренные Законом о персональных данных.
4.2. Субъект персональных данных обязан:
- предоставлять Оператору достоверные персональные данные для целей обработки;
- предоставлять Оператору при необходимости сведения для уточнения (обновления, изменения) предоставленных персональных данных;
- исполнять иные обязанности, предусмотренные Законом о персональных данных.
4.3. Лица, передавшие Оператору недостоверные сведения о себе, либо сведения о другом Субъекте персональных данных без согласия последнего, несут ответственность в соответствии с законодательством Российской Федерации.
5. Принципы обработки персональных данных. Порядок и условия обработки и хранения персональных данных. Основные права и обязанности Субъекта персональных данных
5.1. Обработка организована Оператором на принципах:
- законности целей и способов обработки персональных данных, добросовестности исправедливости в деятельности Оператора;
- ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
- достаточности для целей обработки персональных данных (недопустимость обработки персональных данных, избыточных по отношению к целям, заявленным при сборе персональных данных);
- недопустимости объединения баз данных, содержащих персональные данные,обработка которых осуществляется в целях, не совместимых между собой;
- обеспечения точности персональных данных и актуальности по отношению к целям обработки персональных данных;
- хранения персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных.
5.2. Оператор при обработке персональных данных обязуется соблюдать конфиденциальность персональных данных.
5.3. Обработка персональных данных осуществляется с согласия Субъекта персональных данных за исключением случаев, установленных законодательством Российской Федерации.
5.4. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, предметным, информированным, сознательным и однозначным. Такое согласие может быть дано в любой, позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
5.5. Согласие на обработку персональных данных может быть отозвано Субъектом персональных данных.
5.6. В случаях, предусмотренных федеральным законом, обработка персональных данных осуществляется только с согласия, предоставленного в письменной форме Субъектом персональных данных.
5.7. Перечень действий, совершаемых Оператором с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение.
5.8. Обработка персональных данных Оператором осуществляется смешанным способом.
5.9. Обработка персональных данных осуществляется на серверах, расположенных на территории Российской Федерации.
5.10. Трансграничная передача персональных данных Оператором не осуществляется.
5.11. Условием прекращения обработки персональных данных может являться достижение целей обработки персональных данных или утрата необходимости в достижении этих целей, истечение срока действия Согласия или отзыв Согласия, а также выявление неправомерной обработки персональных данных, ликвидация Общества
5.12. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных, в специальных разделах или на полях форм (бланков).
5.13. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы.
5.14. При хранении материальных носителей установлены меры, обеспечивающие сохранность персональных данных и исключающие несанкционированный доступ к ним.
5.15. Хранение персональных данных осуществляется в форме, позволяющей определить Субъекта персональных данных, в течение срока не дольше, чем этого требуют цели обработки персональных данных, кроме случаев, когда срок хранения персональных данных установлен федеральным законом или договором, стороной которого либо выгодоприобретателем или поручителем по которому является Субъект персональных данных.
6. Порядок подачи и рассмотрения запросов и обращений Субъектов персональных данных
6.1. В целях реализации своих прав, предусмотренных Законом о персональных данных Субъект персональных данных (его представитель) направляет Оператору обращение или запрос о предоставлении сведений, указанных в ч. 7 ст. 14 Закона о персональных данных.
6.2. Обращение или запрос может быть подано:
- в письменной форме по адресу Оператора, указанному в п. 1.2 настоящей Политики с пометкой «Персональные данные»;
- в электронной форме по адресу электронной почты: dpo@etopayments.ru.
6.3. Для отзыва согласия на обработку персональных данных субъект направляет Оператору соответствующее заявление одним из способов, указанных в п. 6.2. настоящей Политики. Отзыв согласия на обработку персональных данных осуществляется в том же порядке, что и дача такого согласия.
6.4. Требования к содержанию обращения или запроса:
- фамилию, имя, отчество (при наличии) Субъекта персональных данных;
- реквизиты документа, удостоверяющего личность субъекта (его представителя);
- контактную информацию для связи (номер телефона или адрес электронной почты);
- сведения, подтверждающие участие Субъекта персональных данных в отношениях с Оператором (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором;
- подтверждение полномочий представителя, если обращение подается представителем;
- суть обращения (описание проблемы, перечень запрашиваемой информации и тд.).
6.5. В случае если в обращении или запросе не указаны все необходимые сведения, позволяющие идентифицировать субъекта и рассмотреть его обращение, Оператор вправе оставить такое обращение без ответа, уведомив об этом заявителя (при наличии в тексте контактных данных).
6.6. Оператор рассматривает обращение или запрос субъекта и предоставляет ответ Субъекту персональных данных или его представителю в течение десяти рабочих дней с момента обращения либо получения соответствующего запроса Субъекта персональных данных или его представителя. Указанный срок может быть продлен, но не более чем на пять рабочих дней, если Оператор направит в адрес Субъекта персональных данных мотивированное уведомление с указанием причин продления срока.
6.7. Ответ предоставляется Субъекту персональных данных или егопредставителю в той форме, в которой направлены соответствующие обращение либо запрос, если иное не указано в обращении или запросе.
6.8. Оператор вправе отказать в удовлетворении требования Субъекта персональных данных в случае, если запрос нарушает права третьих лиц, либо если предоставление информации может нанести вред правам и законным интересам самого субъекта. Отказ должен быть мотивированным и содержать ссылку на норму закона.
6.9. Вся корреспонденция, связанная с обращениями субъектов, регистрируется в Журнале учета обращений Субъектов персональных данных. Копии запросов и направленных ответов подлежат хранению в течение трех лет.
7. Уточнение, блокирование и уничтожение персональных данных
7.1. В случае подтверждения факта неточности персональных данных Оператор на основании сведений, представленных Субъектом персональных данных (его представителем) либо уполномоченным органом по защите прав субъектов персональных данных, или иных необходимых документов уточняет персональные данные либо обеспечивает их уточнение в течение семи рабочих дней со дня представления таких сведений.
7.2. Оператор блокирует персональные данные или обеспечивает их блокирование в следующих случаях:
- выявления неправомерной обработки персональных данных при обращении Субъекта персональных данных (его представителя) либо по запросу Субъекта персональных данных (его представителя) либо уполномоченного органа по защите прав субъектов персональных данных. Персональные данные блокируются с момента такого обращения или получения указанного запроса на период проверки;
- выявления неточных персональных данных при обращении Субъекта персональных данных или его представителя либо по их запросу или по запросу уполномоченного органа по защите прав субъектов персональных данных. Персональные данные блокируются с момента такого обращения или получения указанного запроса на период проверки, если блокирование персональных данных не нарушает права и законные интересы Субъекта персональных данных или третьих лиц;
- отсутствия возможности уничтожения персональных данных в течение срока, указанного в ч. 3 — ч. 5.1 ст. 21 Закона о персональных данных. Персональные данные блокируются до момента уничтожения.
7.3. Оператор прекращает обработку персональных данных или обеспечивает ее прекращение в следующих случаях:
- достижения цели обработки персональных данных;
- отзыва Субъектом персональных данных согласия на обработку его персональных данных;
- выявления неправомерной обработки персональных данных. Оператор прекращает их обработку в срок, не превышающий трех рабочих дней с даты выявления;
- обращения Субъекта персональных данных с требованием о прекращении обработки. Оператор прекращает их обработку в срок, не превышающий десяти рабочих дней с даты получения соответствующего требования. Этот срок может быть продлен, но не более чем на пять рабочих дней, если Оператор направит Субъекту персональных данных мотивированное уведомление с указанием причин продления срока.
7.4. В случае достижения цели обработки персональных данных или утраты необходимости ее достижения Оператор уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект персональных данных, иным соглашением между Оператором и Субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия Субъекта персональных данных на основаниях, предусмотренных федеральными законами.
7.5. В случае отзыва Субъектом персональных данных согласия на обработку его персональных данных если сохранение персональных данных более не требуется для целей обработки персональных данных, Оператор уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект персональных данных, иным соглашением между Оператором и Субъектом персональных данных либо если Оператор не вправе осуществлять обработку персональных данных без согласия Субъекта персональных данных на основаниях, предусмотренных федеральными законами.
7.6. В случае выявления неправомерности обработки персональных данных и если невозможно обеспечить ее правомерность Оператор уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий десяти рабочих дней с даты выявления неправомерной обработки.
7.7. В случае предъявления Субъектом персональных данных (его представителем) сведений, подтверждающих, что обрабатываемые персональные данные получены незаконно или не являются необходимыми для заявленной цели обработки Оператор уничтожает персональные данные или обеспечивает их уничтожение в срок, не превышающий семи рабочих дней со дня представления таких сведений.
7.8. Уничтожение персональных данных производится на основании Приказа Генерального директора.
7.9. Уничтожение персональных данных осуществляет комиссия по уничтожению персональных данных. В состав комиссии включается Ответственный за организацию обработки персональных данных. Состав комиссии утверждается приказом генерального директора Оператора.
7.10. Уничтожение персональных данных, зафиксированных на материальных носителях (на бумажных носителях), производится способом, исключающим дальнейшее прочтение или восстановление информации. Для этого используются методы механического разрушения (шредирование) или химического воздействия. Конкретный способ уничтожения определяется в зависимости от типа носителя.
7.11. Уничтожение персональных данных, обрабатываемых в информационных системах персональных данных (электронная форма), производится путем механического нарушения целостности носителя, не позволяющего считать или восстановить персональные данные, а также путем удаления данных с электронных носителей методами и средствами гарантированного удаления остаточной информации. Для уничтожения персональных данных применяются прошедшие в установленном порядке процедуру оценки соответствия средства защиты информации, в составе которых реализована функция уничтожения информации. Выбор метода осуществляется исходя из типа носителя
и класса информационной системы.
7.12. Комиссия подтверждает уничтожение персональных данных:
- актом об уничтожении персональных данных – если данные обрабатываются без использования средств автоматизации;
- актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных – если данные обрабатываются с использованием средств автоматизации либо одновременно с использованием и без использования таких средств.
7.13. Акт об уничтожении персональных данных, Выгрузка из журнала и Приказ Генерального директора об уничтожении персональных данных подлежат хранению в течение 3 лет с момента уничтожения персональных данных.
7.14. В целях своевременного уничтожения данных с истекшим сроком хранения и упорядочивания данной процедуры Оператор уничтожает персональные данные на регулярной основе в течение первого квартала календарного года.
8. Организационные и технические меры защиты
8.1. Оператор при обработке персональных данных принимает или обеспечивает принятие необходимых правовых, организационных и технических мер для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
8.2. Организационные и технические меры, принятые оператором:
- назначено лицо, ответственное за организацию обработки персональных данных;
- определен перечень лиц, имеющих доступ к персональным данным;
- регулярно проводятся обучения сотрудников правилам обработки и защиты персональных данных;
- осуществляется регулярный контроль соответствия обработки персональных данных и оценка соответствия требованиям законодательства;
- определены и ежегодно пересматриваются угрозы безопасности персональных данных при их обработке в информационных системах персональных данных;
- применяется антивирусное программного обеспечение и средства обнаружения и предотвращения вторжений;
- идентификация и аутентификация пользователей;
- ограничена программная среда;
- внедрена системы разграничения прав доступа;
- используются средства шифрования данных;
- установлены правила доступа к персональным данным, обрабатываемым в информационной системе, а также осуществляется регистрация и учет всех действий, совершаемых с персональными данными в информационной системе;
- предусмотрены механизмы выявления инцидентов информационной безопасности;
- Ведется управление конфигурацией информационной системы и системы защиты персональных данных.
8.3. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей нарушение прав Субъектов персональных данных, Оператор обязан с момента выявления такого инцидента им или Роскомнадзором или иным заинтересованным лицом уведомить Роскомнадзор в течение 24 часов о произошедшем инциденте, о предполагаемых причинах, повлекших нарушение прав Субъектов персональных данных, и предполагаемом вреде, нанесенном правам Субъектов персональных данных, о принятых мерах по устранению последствий соответствующего инцидента, а также предоставить сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по вопросам, связанным с выявленным инцидентом.
8.4. По факту неправомерной или случайной передачи персональных данных, повлекшей нарушение прав Субъектов персональных данных, Оператор должен провести внутреннее расследование и уведомить Роскомнадзор в течение 72 часов с момента установления указанного факта о результатах внутреннего расследования выявленного инцидента, а также предоставить сведения о лицах, действия которых стали причиной выявленного инцидента (при наличии).
9. Передача персональных данных третьим лицам
9.1. Оператор осуществляет передачу персональных данных третьим лицам с письменного согласия Субъекта персональных данных, за исключением случаев, установленных законодательством, когда такое согласие не требуется.
9.2. Оператор может передавать персональные данные третьим лицам исключительно для достижения целей, указанных в Приложении № 1 настоящей Политики.
9.3. Передача осуществляется на основании договоров поручения обработки персональных данных в соответствии со ст. 6 Закона о персональных данных.
9.4. Оператор вправе передавать персональные данные органам дознания и следствия, иным уполномоченным органам по основаниям, предусмотренным действующим законодательством.
10. Заключительные положения
10.1. Все вопросы, связанные с обработкой и защитой персональных данных, не урегулированные настоящей Политикой, разрешаются в соответствии с действующим законодательством Российской Федерации в области персональных данных.
10.2. Оператор вправе в одностороннем порядке вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента ее размещения на Сайте https://etoplatezhi.ru/privacy-policy/.
10.3. Новая редакция Политики применяется к отношениям, возникшим после введения ее в действие.
10.4. Адреса для направления предложений и вопросов по Политике Оператора:
- почтовый адрес для письменных обращений: 127015, Г.МОСКВА, ВН.ТЕР.Г. МУНИЦИПАЛЬНЫЙ ОКРУГ БУТЫРСКИЙ, УЛ НОВОДМИТРОВСКАЯ, Д. 2, К. 1, ПОМЕЩ. 2/19
- адрес электронной почты: dpo@etopayments.ru.
