I. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее - Политика) определяет порядок обработки персональных данных и реализуемые меры по обеспечению безопасности персональных данных в АНО "ИТ-ИННОВАЦИИ" (далее - Оператор) в соответствии с требованиями Федерального закона от 27 июля 2006 года № 152-ФЗ "О персональных данных" (далее - 152-ФЗ).

1.2. Оператор является юридическим лицом, самостоятельно или совместно с другими лицами организующим и (или) осуществляющим обработку персональных данных (ПДн), а также определяющим цели обработки, состав ПДн, подлежащих обработке, и действия (операции), совершаемые с ПДн.

1.3. Политика подлежит опубликованию и должна обеспечивать неограниченный доступ к сведениям о реализуемых требованиях к защите ПДн на страницах сайта fotobank02.ru, с использованием которых осуществляется сбор персональных данных.

1.4. Основные понятия, используемые в Политике:

• Персональные данные (ПДн): любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту ПДн).

• Обработка персональных данных: любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без их использования, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

• Оператор: АНО "ИТ-Инновации" (ИНН 0245971610, ОГРН 1230200032810).

• Сайт (Информационная система): совокупность связанных между собой веб-страниц, размещённых в сети Интернет по уникальному адресу fotobank02.ru («Фотобанк»).

• Пользователь (Субъект ПДн): лицо, имеющее доступ к Сайту посредством сети Интернет и использующее информацию, материалы и продукты Сайта.

• Cookies: небольшой фрагмент данных, отправленный веб-сервером и хранимый на компьютере Пользователя, который веб-клиент или веб-браузер каждый раз пересылает вебсерверу в HTTP-запросе при попытке открыть страницу соответствующего сайта.

• IP-адрес: уникальный сетевой адрес узла в компьютерной сети, через который Пользователь получает доступ на сайт.

II. Цели и принципы обработки ПДн

2.1. Обработка персональных данных осуществляется на законной и справедливой основе.

2.2. Обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей. Не допускается обработка ПДн, несовместимая с целями их сбора. Содержание и объем обрабатываемых ПДн должны соответствовать заявленным целям обработки и не быть избыточными.

2.3. Целями обработки ПДн являются:

1. Идентификация Пользователя, зарегистрированного на сайте fotobank02.ru, для его дальнейшей авторизации.

2. Предоставление Пользователю доступа к персонализированным данным сайта fotobank02.ru.

3. Установление с Пользователем обратной связи, включая направление уведомлений, запросов, касающихся использования сайта fotobank02.ru, обработка запросов и заявок от Пользователя.

4. Определение места нахождения Пользователя для обеспечения безопасности, предотвращения мошенничества.

5. Подтверждение достоверности и полноты персональных данных, предоставленных Пользователем.

6. Создание учётной записи для использования закрытых частей сайта, если Пользователь дал согласие на создание учётной записи.

7. Предоставление Пользователю эффективной технической поддержки при возникновении проблем, связанных с использованием сайта fotobank02.ru.

8. Предоставление Пользователю с его согласия специальных предложений, новостной рассылки и иных сведений от имени сайта fotobank02.ru (цель прямого маркетинга).

III. Правовые основания обработки ПДн

3.1. Правовыми основаниями обработки ПДн являются:

• Федеральный закон от 27.07.2006 № 152-ФЗ "О персональных данных";

• Согласие субъекта персональных данных на обработку его ПДн.

• Необходимость обработки ПДн для заключения и исполнения договора, стороной которого является Пользователь (Пользовательское соглашение).

• Иные федеральные законы и нормативные правовые акты, регулирующие деятельность Оператора.

3.2. Обработка ПДн для целей 1-7 пункта 4 Политики, осуществляется на основании согласия Пользователя и/или в связи с исполнением договора, стороной которого является Пользователь (п. 1 и 5 ч. 1 ст. 6 152-ФЗ).

3.3. Обработка ПДн в целях продвижения товаров (цель 8 пункта 4 Политики) допускается только при условии предварительного согласия субъекта ПДн (ч. 1 ст. 15 152-ФЗ,).

3.4. В случаях, когда федеральным законом предусмотрено получение согласия в письменной форме (например, для обработки биометрических данных), Оператор обязан получить такое согласие.

IV. Категории субъектов, ПДн которых обрабатываются Оператором

Категорией субъектов персональных данных, обрабатываемых Оператором, являются Пользователи сайта fotobank02.ru (физические лица).

V. Перечень ПДн, обрабатываемых Оператором

5.1. Оператор обрабатывает следующие категории ПДн, предоставляемые Пользователем путем заполнения форм на сайте:

• Фамилия, имя, отчество Пользователя.

• Контактный телефон Пользователя.

• Адрес электронной почты (e-mail).

• Фотография (при необходимости) - биометрические персональные данные.

5.2. Биометрические персональные данные: фотография, если она используется Оператором для установления личности субъекта ПДн (например, для идентификации и авторизации, цели 1, 6 пункта 4 Политики), относится к биометрическим персональным данным. Изображение лица человека, полученное с помощью фотовидеоустройств, является видом биометрических ПДн. Обработка таких данных осуществляется только при наличии согласия в письменной форме субъекта ПДн, за исключением установленных федеральным законом случаев (ч. 1 ст. 11 152-ФЗ).

5.3. Оператор обрабатывает автоматически передаваемые данные, которые могут быть квалифицированы как ПДн в совокупности с другими сведениями:

• IP адрес.

• Информация из cookies.

• Информация о браузере.

• Время доступа.

• Реферер (адрес предыдущей страницы).

• Данные, полученные через Яндекс.Метрику (сбор статистики).

VI. Трансграничная передача ПДн

Трансграничная передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому или юридическому лицу не осуществляется.

VII. Перечень действий, совершаемых Оператором с ПДн, и способы их обработки

7.1. Оператор совершает следующие действия (операции) с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение.

7.2. Обработка ПДн осуществляется:

• С использованием средств автоматизации (автоматизированная обработка).

• Без использования средств автоматизации, если при этом обеспечиваются условия, исключающие несанкционированный доступ к ним (неавтоматизированная обработка).

VIII. Сроки обработки ПДн

8.1. Хранение персональных данных осуществляется в форме, позволяющей определить субъекта ПДн, не дольше, чем этого требуют цели их обработки.

8.2. Срок обработки ПДн определяется достижением целей обработки, сроком действия договора или согласия субъекта ПДн, а также требованиями законодательства Российской Федерации.

8.3. Обработка ПДн прекращается и ПДн подлежат уничтожению (либо обезличиванию) в следующих случаях:

• Достижение целей обработки ПДн. Срок уничтожения не превышает тридцати дней с даты достижения цели.

• Отзыв субъектом ПДн согласия на их обработку. Срок уничтожения не превышает тридцати дней с даты поступления отзыва.

• Выявление неправомерной обработки ПДн. Если обеспечить правомерность обработки невозможно, ПДн подлежат уничтожению в срок не более десяти рабочих дней с даты выявления неправомерной обработки (ч. 3 ст. 21 152-ФЗ).

• Прекращение осуществления деятельности Оператора.

IX. Условия обработки ПДн

9.1. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать третьим лицам и не распространять ПДн без согласия субъекта ПДн, если иное не предусмотрено федеральным законом.

9.2. Оператор, осуществляющий сбор ПДн граждан Российской Федерации, в том числе посредством информационно-телекоммуникационной сети "Интернет" (fotobank02.ru), обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ,).

9.3. Сбор данных о посещаемости сайта (IP адрес, cookies и пр.) осуществляется для целей статистики и анализа действий пользователей. В случае, если эти данные используются для формирования профилей поведения или не являются полностью анонимными, они обрабатываются в соответствии с 152-ФЗ.

X. Права и обязанности субъектов ПДн

10.1. Субъект ПДн вправе требовать от Оператора уточнения его персональных данных, их блокирования или уничтожения в случае, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.

10.2. Субъект ПДн имеет право на получение информации, касающейся обработки его ПДн, в том числе содержащей подтверждение факта обработки, правовые основания и цели обработки, сроки обработки и хранения, а также наименование и место нахождения Оператора. Сведения предоставляются в течение десяти рабочих дней с момента обращения или запроса.

10.3. Субъект ПДн вправе отозвать свое согласие на обработку персональных данных. Оператор обязан прекратить обработку ПДн (если не имеет иного законного основания для продолжения) и уничтожить их в срок, не превышающий тридцати дней с даты поступления отзыва.

10.4. Отказ от предоставления данных:

• Предоставление физическими лицами своих биометрических персональных данных (фотографии) в целях, предусмотренных законодательством, не может быть обязательным.

• Отказ физического лица от прохождения идентификации и (или) аутентификации с использованием его биометрических персональных данных не может служить основанием для отказа ему в оказании услуги (за исключением случаев, когда предоставление ПДн является обязательным в соответствии с федеральными законами).

XI. Обеспечение защиты ПДн при их обработке Оператором

11.1. Оператор обязан принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

11.2. Меры по обеспечению безопасности ПДн достигаются, в частности:

1. Определением угроз безопасности ПДн при их обработке в информационных системах ПДн (ИСПДн). Угроза безопасности ПДн реализуется в результате образования канала реализации УБПДн между источником угрозы и носителем ПДн.

2. Применением организационных и технических мер, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности ПДн.

3. Оценкой вреда, который может быть причинен субъектам ПДн в случае нарушения 152-ФЗ, и соотношением указанного вреда и принимаемых Оператором мер.

4. Изданием документов, определяющих политику Оператора и локальных актов по вопросам обработки ПДн, определяющих для каждой цели категории и перечень обрабатываемых ПДн, способы, сроки их обработки и хранения, порядок уничтожения.

11.3. Внутренний контроль: Оператор, являющийся юридическим лицом, обязан назначить ответственного за организацию обработки ПДн и осуществлять внутренний контроль (аудит) соответствия обработки ПДн законодательству РФ.

XII. Актуализация, исправление, удаление, уничтожение ПДн

12.1. В случае подтверждения факта неточности ПДн Оператор на основании сведений, представленных субъектом ПДн или уполномоченным органом, обязан уточнить их (либо обеспечить уточнение) в течение семи рабочих дней со дня представления таких сведений и снять блокирование ПДн.

12.2. При выявлении незаконной обработки ПДн Оператор обязан прекратить обработку в течение трех рабочих дней с даты выявления и уничтожить ПДн в срок не более десяти рабочих дней с даты выявления незаконной обработки, если не может обеспечить правомерность обработки.

12.3. Уничтожение ПДн по достижении цели или по отзыву согласия оформляется актом об уничтожении персональных данных и, при обработке с использованием средств автоматизации, выгрузкой из журнала регистрации событий в информационной системе. Акт должен содержать, в частности, наименование Оператора, перечень категорий уничтоженных ПДн, способ и причину уничтожения, а также сведения о лице, уничтожившем данные.

XIII. Реагирование на запросы субъектов ПДн

13.1. Оператор обязан предоставить субъекту ПДн или его представителю сведения, касающиеся обработки его ПДн (согласно ч. 7 ст. 14 152-ФЗ), в течение десяти рабочих дней с момента обращения или получения запроса.

13.2. Указанный срок может быть продлен, но не более чем на пять рабочих дней, с направлением мотивированного уведомления субъекту ПДн с указанием причин продления срока.

13.3. Запрос субъекта ПДн должен содержать, в частности, номер основного документа, удостоверяющего личность, сведения, подтверждающие участие субъекта в отношениях с Оператором, либо сведения, иным образом подтверждающие факт обработки ПДн Оператором, а также подпись субъекта ПДн.

XIV. Использование cookie

14.1. При посещении Сайта fotobank02.ru автоматически собираются технические данные (IP-адрес, информация из cookies, информация о браузере, время доступа, реферер).

14.2. Cookies используются Сайтом, в том числе, для сбора статистики о посещаемости Сайта и действиях Пользователей посредством Яндекса.Метрики.

14.3. Если сбор статистики посредством cookies используется для мониторинга поведенческой активности граждан, Оператор должен учитывать требования законодательства, в том числе, необходимость получения надлежащего согласия, если данные не обезличены. Если Яндекс.Метрика собирает анонимную информацию, Оператор несет ответственность за подтверждение того, что собранная информация не позволяет определить принадлежность данных конкретному субъекту ПДн.

14.4. Пользователь может ознакомиться с Политикой конфиденциальности Яндекса для получения подробной информации о том, как Яндекс использует данные, и как отказаться от сбора данных.

14.5. Сведения, автоматически передаваемые при посещении страниц (включая IP-адрес и cookies), также обрабатываются для целей обеспечения безопасности и предотвращения мошенничества, что может основываться на осуществлении прав и законных интересов Оператора (п. 7 ч. 1 ст. 6 152-ФЗ).