ПОЛОЖЕНИЕ об обработке персональных данных

ПОЛОЖЕНИЕ

об обработке персональных данных в ООО «Группа компаний У АВГУСТА»

г. Москва

УТВЕРЖДЕНО

Приказом Генерального директора

ООО «ГК У Августа»

от «21» __________ 20 г. № ___

1. Общие положения

1.1. Настоящее Положение об обработке персональных данных (далее — Положение) является локальным нормативным актом Общества с ограниченной ответственностью «Группа компаний У АВГУСТА» (сокращённое наименование — ООО «ГК У Августа»), ОГРН 1177746373936, ИНН 9729073356, юридический адрес: 121471, г. Москва, ул. Рябиновая, д. 45, этаж 3, помещение 1, комната 7 (далее — Оператор), определяющим политику Оператора в отношении обработки персональных данных, порядок и условия обработки персональных данных, меры по обеспечению безопасности персональных данных, а также права и обязанности субъектов персональных данных и Оператора.

1.2. Настоящее Положение разработано в соответствии с:

Конституцией Российской Федерации;
Трудовым кодексом Российской Федерации;
Гражданским кодексом Российской Федерации;
Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ);
Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
Постановлением Правительства РФ от 15.09.2008 № 687 «Об утверждении Положения об особенностях обработки персональных данных, осуществляемой без использования средств автоматизации»;
Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
иными нормативными правовыми актами Российской Федерации.

1.3. Настоящее Положение вступает в силу с момента его утверждения приказом Генерального директора и действует бессрочно до замены его новым локальным нормативным актом.

1.4. Ответственный за организацию обработки персональных данных назначается приказом Генерального директора Оператора из числа работников Оператора либо из числа внешних специалистов (индивидуальных предпринимателей, самозанятых, представителей организаций), привлекаемых на основании гражданско-правового договора и обладающих необходимой квалификацией и знаниями в области защиты персональных данных.

1.5. Все работники Оператора ознакамливаются с настоящим Положением под подпись в журнале ознакомления с локальными нормативными актами.

1.6. Если Ответственный является внешним специалистом, его права и обязанности определяются гражданско-правовым договором и Регламентом обязанностей ответственного за организацию обработки персональных данных, утверждённым Оператором. На такого Ответственного не распространяются трудовое законодательство РФ и локальные акты Оператора, регулирующие трудовые отношения. Ответственный получает указания непосредственно от Генерального директора Оператора и подотчётен ему.

2. Термины и определения

2.1. В настоящем Положении используются следующие термины:

Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

Оператор — ООО «ГК У Августа», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Субъект персональных данных — физическое лицо, чьи персональные данные обрабатываются Оператором.

Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

Конфиденциальность персональных данных — обязательное для соблюдения Оператором или иным получившим доступ к персональным данным лицом требование не раскрывать третьим лицам и не распространять персональные данные без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

3. Цели обработки персональных данных, категории субъектов и перечень обрабатываемых данных

3.1. Оператор обрабатывает персональные данные в следующих целях:

3.1.1. Для клиентов — физических лиц (покупателей интернет-магазина и офлайн-магазинов):

оформление, обработка и исполнение заказов;
доставка товаров;
связь с покупателем, включая направление уведомлений о статусе заказа;
рассмотрение обращений и претензий, связанных с качеством товара, возвратами;
направление информационных и рекламных сообщений (при наличии отдельного согласия);
улучшение работы сайта и качества обслуживания;
проведение статистических и аналитических исследований на обезличенных данных.

3.1.2. Для представителей контрагентов (юридических лиц и индивидуальных предпринимателей):

подготовка, заключение и исполнение гражданско-правовых договоров;
ведение бухгалтерского и налогового учёта;
деловая переписка и документооборот.

3.1.3. Для работников Оператора:

ведение кадрового учёта;
расчёт заработной платы и иных выплат;
исполнение требований Трудового кодекса РФ и иных нормативных актов;
обеспечение пропускного режима и безопасности.

3.1.4. Для соискателей:

рассмотрение резюме и принятие решения о трудоустройстве.

3.2. Оператор обрабатывает персональные данные следующих категорий субъектов:

Клиенты — физические лица (покупатели интернет-магазина и офлайн-магазинов);
Представители контрагентов (работники юридических лиц и индивидуальных предпринимателей, взаимодействующих с Оператором);
Работники Оператора (лица, состоящие в трудовых отношениях с Оператором);
Соискатели (лица, предоставившие резюме для трудоустройства).

3.3. Перечень персональных данных, обрабатываемых Оператором:

Категория субъектов	Перечень персональных данных
Клиенты — физические лица	Фамилия, имя, отчество; номер контактного телефона; адрес электронной почты; адрес доставки; сведения о заказах (история покупок); данные о способах оплаты (без платёжных реквизитов)
Представители контрагентов	Фамилия, имя, отчество; должность; контактный телефон; адрес электронной почты; реквизиты организации
Работники	Фамилия, имя, отчество; паспортные данные; ИНН; СНИЛС; адрес регистрации; контактный телефон; сведения о трудовой деятельности; сведения об образовании
Соискатели	Фамилия, имя, отчество; контактный телефон; адрес электронной почты; сведения об образовании и опыте работы

3.4. Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья) и биометрические персональные данные.

4. Правовые основания обработки персональных данных

4.1. Правовыми основаниями обработки персональных данных являются:

Конституция Российской Федерации (ст. 24);
Гражданский кодекс Российской Федерации;
Трудовой кодекс Российской Федерации (в части обработки данных работников);
Налоговый кодекс Российской Федерации;
Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
иные нормативные правовые акты Российской Федерации;
устав ООО «ГК У Августа»;
договоры, заключаемые между Оператором и субъектами персональных данных;
согласия субъектов персональных данных на обработку их персональных данных.

4.2. Обработка персональных данных осуществляется с согласия субъекта персональных данных, выраженного путём совершения активных действий (проставление отметки в чек-боксе при оформлении заказа или регистрации на сайте, подписание отдельного согласия).

4.3. С 1 сентября 2025 года согласие на обработку персональных данных оформляется исключительно как отдельный документ и не может быть включено в текст иных документов (оферты, пользовательского соглашения, анкеты).

5. Порядок и условия обработки персональных данных

5.1. Оператор обрабатывает персональные данные смешанным способом (с использованием средств автоматизации и без их использования).

5.2. Оператор осуществляет следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

5.3. Обработка персональных данных осуществляется с соблюдением принципов:

законности целей и способов обработки;
соответствия целей обработки целям, заявленным при сборе данных;
соответствия объёма и характера обрабатываемых данных целям обработки;
достоверности персональных данных и их достаточности для целей обработки;
недопустимости обработки данных, избыточных по отношению к заявленным целям;
хранения данных не дольше, чем этого требуют цели их обработки.

5.4. Персональные данные хранятся на серверах, расположенных на территории Российской Федерации.

5.5. Использование иностранных сервисов и ресурсов для обработки персональных данных (в том числе Google Analytics, Google Forms, Google reCAPTCHA и др.) не допускается. С 1 июля 2025 года запрещена передача персональных данных на зарубежные сервисы до их первичного размещения в России.

5.6. Передача персональных данных третьим лицам:

5.6.1. Оператор вправе передавать персональные данные третьим лицам в следующих случаях:

субъект персональных данных дал согласие на такую передачу;
передача необходима для исполнения заказа (службы доставки, платёжные системы, IT-провайдеры);
передача требуется в соответствии с законодательством Российской Федерации (по запросу уполномоченных государственных органов).

5.6.2. Оператор вправе предоставлять третьим лицам обезличенные агрегированные данные, не позволяющие идентифицировать конкретного пользователя.

5.7. Трансграничная передача персональных данных:

5.7.1. Трансграничная передача персональных данных не осуществляется.

5.7.2. При осуществлении трансграничной передачи персональных данных Оператор обязан уведомить Роскомнадзор о намерении осуществлять трансграничную передачу персональных данных до начала такой передачи.

5.8. Сроки обработки персональных данных:

5.8.1. Персональные данные обрабатываются до достижения целей обработки, но не более срока, указанного в согласии субъекта персональных данных.

5.8.2. Персональные данные, зафиксированные на бумажных носителях, хранятся в соответствии с Федеральным законом от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации» и иными нормативными правовыми актами в области архивного дела.

5.9. Уничтожение персональных данных:

5.9.1. Персональные данные подлежат уничтожению по достижении целей обработки или в случае отзыва согласия субъекта персональных данных в срок, не превышающий 30 дней с момента наступления соответствующего события.

5.9.2. Уничтожение персональных данных осуществляется путём:

удаления из информационных систем персональных данных;
уничтожения материальных носителей (бумажных документов) с составлением акта об уничтожении.

6. Меры по обеспечению безопасности персональных данных

6.1. Оператор принимает необходимые организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

6.2. К организационным мерам относятся:

назначение ответственного за организацию обработки персональных данных;
издание внутренних документов, определяющих политику Оператора в отношении обработки персональных данных;
ограничение доступа работников к персональным данным;
ознакомление работников с требованиями законодательства о персональных данных;
ведение учёта машинных носителей персональных данных;
регулярный внутренний контроль за соблюдением требований к защите персональных данных.

6.3. К техническим мерам относятся:

применение средств защиты информации (шифрование, паролирование);
использование антивирусных программ и средств защиты от несанкционированного доступа;
резервное копирование данных;
обеспечение защиты каналов передачи данных.

6.4. Оператор обеспечивает конфиденциальность персональных данных. Лица, имеющие доступ к персональным данным, обязаны не раскрывать их третьим лицам без согласия субъекта персональных данных, если иное не предусмотрено федеральным законом.

7. Права субъектов персональных данных

7.1. Субъект персональных данных имеет право:

получать информацию, касающуюся обработки его персональных данных;
требовать уточнения, блокирования или уничтожения своих персональных данных, если они являются неполными, устаревшими, неточными или незаконно полученными;
отозвать согласие на обработку персональных данных;
обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

7.2. Для реализации своих прав субъект персональных данных может направить письменный запрос Оператору по адресу электронной почты info@uavgusta.ru или по почтовому адресу: 121471, г. Москва, ул. Рябиновая, д. 45, этаж 3, помещение 1, комната 7.

7.3. Отзыв согласия на обработку персональных данных осуществляется путём направления соответствующего уведомления Оператору по адресу электронной почты info@uavgusta.ru или по почтовому адресу.

7.4. В случае отзыва согласия Оператор обязан прекратить обработку персональных данных и уничтожить их в срок, не превышающий 30 дней с момента поступления заявления, за исключением случаев, когда обработка может быть продолжена на основании законодательства РФ.

8. Обязанности Оператора

8.1. Оператор обязан:

обрабатывать персональные данные только с согласия субъекта персональных данных, за исключением случаев, предусмотренных законодательством РФ;
обеспечивать конфиденциальность персональных данных;
принимать меры по защите персональных данных;
предоставлять субъекту персональных данных информацию об обработке его данных по запросу;
уведомлять Роскомнадзор об обработке персональных данных до начала их обработки;
уведомлять Роскомнадзор об изменении сведений, содержащихся в уведомлении, до 15 числа месяца, следующего за месяцем изменений;
уведомлять Роскомнадзор о прекращении обработки персональных данных в течение 10 рабочих дней;
уведомлять Роскомнадзор об инцидентах (утечках персональных данных) в течение 24 часов с момента обнаружения;
публиковать Политику конфиденциальности на сайте и обеспечивать к ней неограниченный доступ.

9. Ответственность

9.1. Лица, виновные в нарушении требований настоящего Положения, несут дисциплинарную, административную, гражданско-правовую и уголовную ответственность в соответствии с законодательством Российской Федерации.

9.2. Работники Оператора, имеющие доступ к персональным данным, ознакомлены с настоящим Положением под подпись и несут персональную ответственность за его соблюдение.

9.3. Контроль за исполнением настоящего Положения возлагается на ответственного за организацию обработки персональных данных.

10. Заключительные положения

10.1. Настоящее Положение вступает в силу с момента его утверждения приказом Генерального директора и действует до замены его новым локальным нормативным актом.

10.2. Изменения и дополнения в настоящее Положение вносятся приказом Генерального директора.

10.3. Настоящее Положение является общедоступным документом и подлежит размещению на сайте Оператора по адресу: https://uavgusta.net.

Приложения к Положению

Приложение № 1 — Перечень должностей работников, имеющих доступ к персональным данным.

Приложение № 2 — Форма журнала ознакомления работников с Положением об обработке персональных данных.

Приложение № 3 — Форма акта об уничтожении персональных данных.

Приложение № 4 — Форма согласия на обработку персональных данных.

Приложение № 5 — Форма уведомления об инциденте (утечке персональных данных).

Разработано:

Ответственный за организацию обработки персональных данных

_________________________ / _________________________ /

«» __________ 20 г.

Согласовано:

_________________________ / _________________________ /

«» __________ 20 г.

Утверждаю:

Генеральный директор

ООО «ГК У Августа»

_________________________ / _________________________ /

«» __________ 20 г.