Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) определяет порядок и условия обработки персональных данных Обществом с ограниченной ответственностью «ЦентрЭнергоЭкспертизы» (далее — Оператор), меры по обеспечению безопасности персональных данных, а также права субъектов персональных данных.

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Трудовым кодексом Российской Федерации и иными применимыми нормативными правовыми актами.

1.3. Сведения об Операторе:

• полное наименование: Общество с ограниченной ответственностью «ЦентрЭнергоЭкспертизы»;
• ИНН 5018151056; ОГРН 1125018002702; КПП 501801001;
• адрес места нахождения: 141069, Московская область, г. Королёв, мкр Первомайский, ул. Советская, д. 31, помещ. II;
• адрес электронной почты для обращений по вопросам персональных данных: info@cenerg.ru;
• телефон: +7 (499) 444-10-95;
• сайт: https://cenerg.ru/ (далее — Сайт).

1.4. Политика распространяется на обработку персональных данных, полученных Оператором через Сайт, формы обратной связи, электронную почту, телефон, сторонние мессенджеры и социальные сети, при заключении и исполнении договоров, при трудоустройстве и в иных законных процессах Оператора.

1.5. Политика является общедоступным документом и размещается на Сайте. Доступ к Политике не должен зависеть от регистрации, оплаты или предоставления персональных данных.

1.6. Используемые в Политике термины применяются в значениях, установленных Федеральным законом № 152-ФЗ. Под персональными данными понимается любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу.

1.7. Если пользователь переходит по ссылке на сторонний сайт, в мессенджер или социальную сеть, обработка данных соответствующим владельцем ресурса регулируется его собственными документами. Оператор отвечает только за обработку, которую осуществляет сам или по его поручению обработчики.

2. Принципы и правовые основания обработки

2.1. Оператор обрабатывает персональные данные законно, добросовестно и прозрачно, только для заранее определённых и законных целей, не допускает избыточности данных и несовместимого объединения баз данных, обеспечивает точность, достаточность, актуальность и ограничение срока хранения.

2.2. Обработка осуществляется при наличии одного или нескольких правовых оснований:

• согласие субъекта персональных данных;
• необходимость заключения или исполнения договора, стороной или выгодоприобретателем по которому является субъект, либо выполнение действий по запросу субъекта до заключения договора;
• исполнение обязанностей и полномочий Оператора, установленных законодательством;
• осуществление прав и законных интересов Оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются;
• иные основания, прямо предусмотренные законодательством Российской Федерации.

2.3. Согласие на обработку персональных данных оформляется отдельно от иных документов и информации, которые субъект подтверждает или подписывает, если закон требует согласия. Молчание, заранее проставленная отметка или продолжение использования Сайта сами по себе не считаются согласием на необязательную обработку.

2.4. Рассылки рекламного характера и обработка данных для прямого маркетинга осуществляются только при наличии предварительного отдельного согласия, когда такое согласие требуется законом. Субъект может отказаться от рассылки в любой момент.

2.5. Оператор не принимает решения, порождающие юридические последствия для субъекта или иным образом существенно затрагивающие его права и законные интересы, исключительно на основании автоматизированной обработки, если иное не предусмотрено законом или отдельным письменным согласием.

3. Субъекты, цели и состав обрабатываемых данных

3.1. Оператор может обрабатывать данные следующих категорий субъектов: посетителей и пользователей Сайта; лиц, направивших заявку или запрос; клиентов и заказчиков — физических лиц; представителей и работников клиентов, заказчиков, подрядчиков и иных контрагентов; получателей информационных и рекламных сообщений; соискателей; работников и бывших работников Оператора, а также иных лиц, данные которых обрабатываются в силу закона или договора.

3.2. Состав данных определяется целью обработки и может включать только необходимые сведения. Основные операции обработки приведены в таблице:

3.3. Оператор не запрашивает через формы Сайта специальные категории персональных данных (в частности, сведения о здоровье, политических взглядах, религии и интимной жизни) и биометрические персональные данные. Просьба не указывать такие сведения в сообщениях и вложениях без необходимости и отдельного законного основания.

3.4. При обработке данных работников специальные категории данных могут обрабатываться только в случаях и объёме, прямо предусмотренных законодательством, либо при наличии надлежащего согласия. Биометрические данные обрабатываются только при соблюдении специальных требований закона.

3.5. Оператор не включает персональные данные в общедоступные источники и не распространяет их неограниченному кругу лиц без отдельного согласия на распространение либо иного прямого основания, предусмотренного законом.

4. Порядок, способы и источники обработки

4.1. Обработка может быть автоматизированной, неавтоматизированной или смешанной, с передачей полученной информации по информационно-телекоммуникационным сетям или без такой передачи.

4.2. Оператор может совершать следующие действия с персональными данными: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), обезличивание, блокирование, удаление и уничтожение. Распространение осуществляется только при наличии отдельного основания.

4.3. Основные источники данных: сам субъект; его законный или уполномоченный представитель; организация, которую субъект представляет; документы и сведения, предоставленные при исполнении договора; законно доступные государственные и общедоступные источники; технические средства Сайта.

4.4. Обязательность предоставления конкретных данных обозначается в форме или следует из закона или договора. При непредоставлении обязательных данных Оператор может оказаться не в состоянии ответить на запрос, подготовить предложение, заключить или исполнить договор.

4.5. Субъект обязан предоставлять достоверные данные и своевременно сообщать об их изменении. Лицо, передающее Оператору данные третьих лиц, подтверждает наличие законного основания и полномочий на такую передачу.

5. Передача третьим лицам и поручение обработки

5.1. Доступ к персональным данным предоставляется только тем работникам Оператора, которым он необходим для выполнения должностных обязанностей, и в пределах предоставленных полномочий. Такие лица обязаны соблюдать конфиденциальность.

5.2. Оператор вправе поручать обработку и передавать данные в необходимом объёме следующим категориям получателей:

• провайдерам хостинга, центрам обработки данных, электронной почты, телефонии, CRM, резервного копирования, информационной безопасности и технической поддержки;
• подрядчикам, выполняющим работы по разработке и сопровождению Сайта и информационных систем;
• банкам, платёжным организациям, аудиторам, бухгалтерам, страховщикам, операторам связи, почтовым и курьерским службам — когда это необходимо для соответствующей операции;
• подрядчикам и субподрядчикам, участвующим в исполнении договора, — в минимально необходимом объёме и при наличии правового основания;
• судам, правоохранительным, налоговым, надзорным и иным государственным органам — в случаях и порядке, установленных законом.

5.3. При поручении обработки Оператор определяет перечень данных и операций, цели обработки, требования к конфиденциальности, безопасности и соблюдению прав субъектов, а также ответственность обработчика. Получатели не вправе использовать данные для собственных несовместимых целей.

5.4. Актуальная информация о конкретных обработчиках и получателях, затрагивающих данные определённого субъекта, предоставляется этому субъекту по запросу в пределах, установленных законом, с учётом необходимости защиты прав третьих лиц и конфиденциальной информации.

5.5. При переходе пользователя по ссылкам на сторонние мессенджеры, социальные сети, карты или иные сервисы данные могут передаваться непосредственно владельцу выбранного сервиса. Перед использованием такого сервиса пользователю рекомендуется ознакомиться с его условиями и политикой конфиденциальности.

6. Трансграничная передача и локализация

6.1. При сборе персональных данных граждан Российской Федерации, в том числе через Интернет, запись, систематизация, накопление, хранение, уточнение и извлечение таких данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом случаев.

6.2. До начала трансграничной передачи Оператор выполняет предусмотренные законодательством действия, включая оценку иностранного получателя и условий обработки, а также направление уведомления уполномоченному органу, когда оно требуется.

6.3. Трансграничная передача осуществляется только при наличии законного основания, в минимально необходимом объёме и с применением надлежащих мер защиты. Если выбранный пользователем сторонний сервис самостоятельно получает данные, такой владелец может выступать самостоятельным оператором.

7. Cookie и аналогичные технологии

7.1. Сайт может сохранять на устройстве пользователя небольшие файлы cookie и использовать аналогичные технологии. Они помогают обеспечить работу страниц и форм, сохранить настройки, защитить Сайт, измерить посещаемость и улучшить сервис.

7.2. Используемые технологии могут относиться к следующим категориям:

• строго необходимые — обеспечивают безопасность, работу формы и базовые функции Сайта;
• функциональные — запоминают выбранные пользователем настройки;
• аналитические — помогают понять, как используется Сайт, на основе статистики;
• рекламные — применяются для оценки рекламы и персонализации только при их фактическом подключении и наличии требуемого согласия.

7.3. Необязательные cookie и связанные с ними технологии активируются только после выбора пользователя в интерфейсе управления согласием, если согласие требуется законом. Пользователь может изменить выбор или удалить cookie в настройках браузера. Отключение строго необходимых cookie может нарушить работу отдельных функций.

7.4. Актуальный перечень конкретных cookie, их поставщиков, назначение и сроки хранения должен отображаться в настройках cookie на Сайте. При расхождении между техническим перечнем в интерфейсе и общим описанием в Политике применяется более конкретная информация, показанная пользователю в момент выбора.

8. Сроки хранения, актуализация и прекращение обработки

8.1. Персональные данные хранятся не дольше, чем этого требуют цели обработки, договор или законодательство. Конкретные сроки и критерии приведены в разделе 3 и локальных документах Оператора.

8.2. Обработка прекращается, а данные удаляются или уничтожаются при достижении цели, утрате необходимости, истечении срока хранения, отзыве согласия или поступлении законного требования, если отсутствует иное правовое основание для продолжения обработки.

8.3. Отзыв согласия не влияет на законность обработки, осуществлённой до его получения. После отзыва Оператор вправе продолжить обработку без согласия в случаях, предусмотренных законодательством, в том числе для исполнения обязательных требований и защиты прав.

8.4. При подтверждении неточности данные уточняются; на период проверки они могут быть заблокированы. При выявлении неправомерной обработки она прекращается, а данные блокируются, удаляются или уничтожаются в сроки, установленные законом.

8.5. Данные в резервных копиях удаляются в рамках установленных циклов перезаписи и восстановления при условии ограничения доступа и невозможности их использования для иных целей. Документированное уничтожение производится способом, исключающим восстановление данных в обычных условиях.

9. Меры защиты и действия при инцидентах

9.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

9.2. К таким мерам относятся, в зависимости от характера обработки и актуальных угроз: назначение ответственных лиц; принятие локальных актов; ограничение и учёт доступа; обучение работников; использование средств защиты; антивирусный контроль и обновления; резервное копирование; журналирование событий; оценка эффективности мер; контроль подрядчиков; реагирование на инциденты.

9.3. При инциденте Оператор принимает меры по локализации, сохранению доказательств, восстановлению безопасности, оценке последствий и предотвращению повторения. Уполномоченный орган и затронутые лица уведомляются в случаях, объёме и сроки, предусмотренные законодательством.

10. Права субъекта персональных данных

10.1. Субъект вправе:

• получать сведения об обработке своих персональных данных в объёме, установленном законом;
• требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных либо ненужных данных;
• отозвать согласие и потребовать прекратить обработку, когда такое право предусмотрено законом;
• отказаться от рекламных и информационных рассылок;
• возражать против обработки, основанной на законном интересе, с указанием относящихся к его ситуации обстоятельств;
• обжаловать действия или бездействие Оператора в Роскомнадзор или суд;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

10.2. Для реализации прав субъект может направить обращение:

• по e-mail: info@cenerg.ru;
• по почте: 141069, Московская область, г. Королёв, мкр Первомайский, ул. Советская, д. 31, помещ. II.

10.3. Обращение должно позволять идентифицировать заявителя и относящиеся к нему данные, содержать описание требования, сведения о взаимодействии с Оператором и подпись заявителя или представителя. Оператор вправе запросить разумно необходимые сведения для подтверждения личности и полномочий, не требуя избыточных данных.

10.4. Оператор рассматривает обращение и отвечает в форме, соответствующей форме обращения, в сроки, установленные законодательством. Информация предоставляется бесплатно, кроме прямо предусмотренных законом случаев. При отказе Оператор направляет мотивированный ответ.

11. Данные несовершеннолетних

11.1. Сайт и услуги Оператора не предназначены специально для лиц младше 18 лет. Оператор не стремится сознательно собирать через Сайт данные детей без участия их законного представителя.

11.2. Если Оператору станет известно, что данные несовершеннолетнего переданы без надлежащего основания, он прекратит такую обработку и удалит данные, если их сохранение не требуется законом. Законный представитель может обратиться по контактам, указанным в разделе 10.

12. Заключительные положения

12.1. Политика действует с даты утверждения и до её замены новой редакцией. Оператор пересматривает её при изменении законодательства, процессов, состава информационных систем или рисков обработки.

12.2. Новая редакция публикуется на Сайте с указанием даты. Изменения, существенно влияющие на права субъектов, доводятся доступным способом, когда это требуется законом или разумно необходимо.

12.3. К отношениям, не урегулированным Политикой, применяется законодательство Российской Федерации.