Политика в отношении обработки персональных данных

1. Общие положения

1.1. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) во исполнение п. 2 ч. 1 ст. 18.1 152-ФЗ. Она определяет, какие персональные данные обрабатывает Оператор, с какой целью, на каком основании, как долго и какие меры защиты применяет.

1.2. Оператор персональных данных: ИП Неустроев Иван Михайлович (ИНН 540535278406, ОГРНИП 322547600111620), адрес места осуществления деятельности: г. Новосибирск, ул. Автогенная, 143, телефон +7 (913) 486-45-21 (далее — Оператор).

1.3. Политика действует в отношении персональных данных, которые Оператор получает через сайт дизайн-авто.рф (далее — Сайт), а также при переписке с Оператором в мессенджерах MAX и Telegram по ссылкам с Сайта и при дальнейшем общении по заявке, отправленной через Сайт.

1.4. Политика опубликована на Сайте в открытом доступе (ч. 2 ст. 18.1 152-ФЗ): ссылка на неё есть внизу каждой страницы и рядом с формой заявки.

1.5. Согласие на обработку персональных данных оформляется отдельно от Политики и иных документов (ч. 1 ст. 9 152-ФЗ): согласие для формы заявки и согласие на аналитические cookie.

2. Основные понятия

• Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие или совокупность действий с персональными данными: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Обработчик — лицо, которому Оператор поручил обработку персональных данных по договору (ч. 3 ст. 6 152-ФЗ), например хостинг-провайдер.
• Трансграничная передача — передача персональных данных на территорию иностранного государства.
• Cookie — небольшой файл с данными, который Сайт или подключённый к нему сервис сохраняет в браузере.
• Пользователь — любой посетитель Сайта.

3. Принципы обработки

Оператор обрабатывает персональные данные законно и справедливо; только для заранее определённых целей и в объёме, который нужен для этих целей; не объединяет базы данных, созданные для несовместимых целей; следит за точностью данных; хранит их не дольше, чем требуют цели обработки, и уничтожает после их достижения (ст. 5 152-ФЗ).

4. Какие данные, зачем и на каком основании

4.1. Заявка через форму на Сайте

• Чьи данные: пользователи, отправившие заявку.
• Данные: имя; марка и модель автомобиля; услуга, которая интересует пользователя; выбранный способ связи (телефон, мессенджер MAX или Telegram) и контакт для него: номер телефона или имя пользователя (ник) в Telegram; дата и время отправки заявки; IP-адрес, с которого она отправлена; адрес страницы, с которой отправлена заявка.
• Цель: рассмотреть заявку, связаться с пользователем, рассчитать стоимость работ, согласовать время визита и подготовить заключение договора оказания услуг. IP-адрес, дата и время нужны, чтобы подтвердить получение согласия (ч. 3 ст. 9 152-ФЗ) и защитить форму от спама.
• Основание: согласие пользователя (п. 1 ч. 1 ст. 6 152-ФЗ), которое он даёт отдельной отметкой в форме: текст согласия. Без отметки заявка не отправляется. Связаться со студией без формы можно по телефону или в мессенджере.
• Как обрабатываются: заявка передаётся на сервер Оператора в Российской Федерации, записывается на нём и оттуда направляется Оператору в мессенджер MAX. В Telegram и другие иностранные сервисы заявка не передаётся. Оператор связывается с пользователем выбранным способом: звонит по телефону или пишет ему в MAX либо в Telegram (о Telegram см. п. 5.6).
• Срок: до достижения цели, но не более 1 года с даты получения заявки, если договор не заключён, либо до отзыва согласия.

4.2. Переписка в мессенджерах MAX и Telegram

• Чьи данные: пользователи, которые пишут Оператору в мессенджер по ссылкам на Сайте, и пользователи, выбравшие в заявке связь через мессенджер.
• Данные: имя, номер телефона, имя пользователя (ник) и фото профиля в том объёме, в каком их показывают настройки профиля пользователя в мессенджере; содержание переписки, в том числе присланные фотографии автомобиля.
• Цель: ответить на вопросы пользователя, рассчитать стоимость работ, согласовать время визита и подготовить заключение договора оказания услуг.
• Основание: обработка необходима для заключения договора по инициативе пользователя (п. 5 ч. 1 ст. 6 152-ФЗ); для пользователей, отправивших заявку, также их согласие (п. 1 ч. 1 ст. 6 152-ФЗ).
• Как обрабатываются: переписка ведётся и хранится в мессенджере, который выбрал пользователь, по правилам этого мессенджера. MAX — российский мессенджер, его данные хранятся на серверах в Российской Федерации. Telegram — иностранный мессенджер, о передаче данных в нём см. п. 5.6.
• Срок: до достижения цели, но не более 1 года с даты последнего сообщения, если договор не заключён. После этого Оператор удаляет переписку из своего аккаунта в мессенджере.

4.3. Заключение и исполнение договора

• Чьи данные: клиенты, которые после заявки заключили с Оператором договор оказания услуг.
• Данные: фамилия, имя, отчество; номер телефона; сведения об автомобиле (марка, модель, государственный регистрационный номер); перечень и стоимость работ; сведения об оплате.
• Цель: заключить и исполнить договор, выполнить гарантийные обязательства, вести учёт по требованиям налогового законодательства.
• Основание: договор, стороной которого является клиент (п. 5 ч. 1 ст. 6 152-ФЗ), и обязанности Оператора по закону (п. 2 ч. 1 ст. 6 152-ФЗ).
• Срок: срок действия договора и гарантийный срок, а документы учёта — в течение сроков, установленных законодательством о налогах и сборах.

4.4. Работа и безопасность Сайта

• Чьи данные: все посетители Сайта.
• Данные: IP-адрес, сведения о браузере и устройстве (user agent), адрес запрошенной страницы, адрес страницы, с которой выполнен переход, дата и время запроса. Эти данные автоматически записывает веб-сервер хостинга в технические журналы.
• Цель: обеспечить работу Сайта, находить и устранять сбои, защищать Сайт от атак и злоупотреблений.
• Основание: осуществление законных интересов Оператора при условии, что не нарушаются права и свободы пользователя (п. 7 ч. 1 ст. 6 152-ФЗ). Журналы не используются для установления личности и не объединяются с другими данными.
• Срок: не более 6 месяцев.

4.5. Статистика посещаемости (Яндекс Метрика)

• Чьи данные: посетители, которые согласились на аналитические cookie.
• Данные: идентификаторы cookie Яндекс Метрики, IP-адрес и примерное местоположение по нему, сведения о браузере и устройстве, просмотренные страницы, источник перехода, клики, дата, время и длительность посещения.
• Цель: понять, какие страницы полезны посетителям, и улучшать Сайт.
• Основание: согласие пользователя (п. 1 ч. 1 ст. 6 152-ФЗ), которое он даёт в уведомлении о cookie: текст согласия. До согласия счётчик Метрики на Сайте не загружается.
• Срок: 1 год с момента согласия либо до его отзыва.

4.6. Оператор не обрабатывает специальные категории персональных данных (о здоровье, расовой и национальной принадлежности, политических взглядах, религиозных и философских убеждениях, интимной жизни, судимости) и биометрические персональные данные. Оператор не принимает решений, порождающих юридические последствия для пользователя, исключительно на основании автоматизированной обработки (ст. 16 152-ФЗ).

4.7. Оператор не проверяет достоверность данных, которые сообщает пользователь, и исходит из того, что пользователь указывает сведения о себе.

4.8. Сайт предназначен для совершеннолетних. Оператор сознательно не собирает данные лиц младше 18 лет. Если такие данные получены, Оператор уничтожит их, как только узнает об этом.

4.9. Оператор не использует данные из заявок для рекламных рассылок, звонков и сообщений рекламного характера. Такие сообщения возможны только с отдельного предварительного согласия (ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе»).

5. Порядок и условия обработки

5.1. Обработка ведётся с использованием средств автоматизации и без них (смешанная обработка), с передачей данных по сети Интернет по защищённому соединению (HTTPS).

5.2. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации (ч. 5 ст. 18 152-ФЗ). Сервер Сайта, сервер, принимающий заявки, и мессенджер MAX, в который они приходят, находятся в Российской Федерации.

5.3. Оператор привлекает обработчиков (ч. 3 ст. 6 152-ФЗ):

• хостинг-провайдер, на серверах которого в Российской Федерации размещены Сайт и принятые заявки;
• ООО «МАХ», оператор мессенджера MAX с серверами в Российской Федерации, через который заявки доставляются Оператору;
• ООО «Яндекс» (ИНН 7736207543, г. Москва, ул. Льва Толстого, д. 16), сервис Яндекс Метрика, — только при согласии пользователя на аналитические cookie.

Обработчики обязаны соблюдать конфиденциальность, принципы и правила обработки, предусмотренные 152-ФЗ, и принимать меры защиты по ст. 19 152-ФЗ. Ответственность перед пользователем за их действия несёт Оператор (ч. 5 ст. 6 152-ФЗ).

5.4. Оператор не продаёт, не распространяет и не публикует персональные данные. Данные предоставляются государственным органам только в случаях и в порядке, предусмотренных законом.

5.5. Заявки с Сайта и переписка в MAX за пределы Российской Федерации не передаются.

5.6. Telegram — иностранный мессенджер, его серверы находятся за пределами Российской Федерации. Если пользователь сам выбрал в заявке связь через Telegram или написал Оператору в Telegram, его ник, данные профиля и переписка обрабатываются на серверах Telegram за рубежом, то есть происходит трансграничная передача персональных данных. Оператор осуществляет её в порядке ст. 12 152-ФЗ, после уведомления Роскомнадзора, и только в объёме, нужном для ответа пользователю: в Telegram Оператор не пересылает заявки и не передаёт данные, которые пользователь сам туда не отправлял. Пользователь, который не хочет передачи данных за рубеж, может выбрать связь по телефону или через MAX.

5.7. Доступ к персональным данным имеют только Оператор и работники студии, которым он нужен для работы с заявками и договорами, в пределах их задач.

6. Сроки хранения и уничтожение

6.1. Персональные данные хранятся в форме, позволяющей определить пользователя, не дольше, чем этого требуют цели обработки, сроки из раздела 4 и требования закона.

6.2. Оператор прекращает обработку и уничтожает персональные данные:

• при достижении цели обработки или истечении срока — в течение 30 дней (ч. 4 ст. 21 152-ФЗ);
• при отзыве согласия — в течение 30 дней с даты получения отзыва, если нет иного законного основания для обработки (ч. 5 ст. 21 152-ФЗ);
• при выявлении неправомерной обработки, которую невозможно устранить, — в течение 10 рабочих дней (ч. 3 ст. 21 152-ФЗ).

6.3. Если пользователь требует прекратить обработку его персональных данных, Оператор прекращает её в течение 10 рабочих дней с даты получения требования, кроме случаев, предусмотренных законом (ч. 5.1 ст. 21 152-ФЗ). Срок может быть продлён не более чем на 5 рабочих дней с уведомлением пользователя о причинах.

6.4. Уничтожение данных подтверждается в соответствии с Требованиями к подтверждению уничтожения персональных данных, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179.

7. Защита персональных данных

7.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий (ст. 18.1, 19 152-ФЗ):

• Оператор лично организует обработку персональных данных и отвечает за неё;
• приняты эта Политика и внутренние правила обработки; оценён вред, который может быть причинён пользователям при нарушении 152-ФЗ (приказ Роскомнадзора от 27.10.2022 № 178);
• определены угрозы безопасности и уровень защищённости данных (постановление Правительства РФ от 01.11.2012 № 1119);
• данные с Сайта передаются по защищённому соединению HTTPS; доступ к серверу, заявкам и аккаунтам Оператора в мессенджерах защищён паролями и есть только у уполномоченных лиц;
• заявки на сервере хранятся в закрытом каталоге, недоступном из Интернета; форма защищена от автоматических отправок;
• соблюдение 152-ФЗ и принятых мер защиты регулярно проверяется.

7.2. Если произойдёт неправомерная или случайная передача (утечка) персональных данных, Оператор уведомит Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов о результатах внутреннего расследования (ч. 3.1 ст. 21 152-ФЗ).

8. Файлы cookie

8.1. Сайт использует cookie двух видов.

8.2. При первом посещении Сайт показывает уведомление о cookie. Можно принять все cookie, отказаться от аналитических или настроить выбор. До выбора и после отказа счётчик Яндекс Метрики не загружается. При отказе Сайт удаляет cookie и данные Метрики из браузера. Выбор можно изменить в любой момент в «Настройках cookie» внизу каждой страницы. Отказ не ограничивает доступ к Сайту.

8.3. Шрифты, изображения и скрипты Сайта загружаются с сервера Сайта. До согласия на аналитические cookie Сайт не обращается к сторонним сервисам. Ссылки на Яндекс Карты и 2ГИС и кнопки Telegram и MAX открывают сайты и приложения этих сервисов, где действуют их собственные правила. Пока пользователь не нажал на ссылку, Сайт ничего не передаёт этим сервисам.

8.4. Cookie можно удалить или запретить в настройках браузера. Если запретить обязательную cookie, Сайт не сможет запомнить выбор и будет показывать уведомление снова.

9. Права пользователя

Пользователь вправе:

• получить сведения об обработке своих персональных данных: подтверждение факта обработки, правовые основания и цели, способы обработки, сведения об Операторе и лицах, которым данные могут быть раскрыты, состав данных и источник их получения, сроки обработки и хранения, сведения об обработчиках (ч. 7 ст. 14 152-ФЗ);
• требовать уточнения, блокирования или уничтожения своих данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных;
• требовать прекращения обработки своих персональных данных;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в суд, требовать возмещения убытков и компенсации морального вреда.

10. Как направить запрос или отозвать согласие

10.1. Запрос, требование или отзыв согласия направляется в письменной форме по адресу: г. Новосибирск, ул. Автогенная, 143, ИП Неустроев Иван Михайлович, или передаётся лично в студии.

10.2. Запрос должен содержать номер основного документа, удостоверяющего личность пользователя или его представителя, сведения о дате выдачи документа и выдавшем его органе, сведения, подтверждающие отношения с Оператором (например, дату заявки и указанный в ней номер телефона или ник в Telegram), и подпись (ч. 3 ст. 14 152-ФЗ).

10.3. Оператор отвечает на запрос в течение 10 рабочих дней с момента его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением пользователю мотивированного уведомления о причинах (ч. 1 ст. 20 152-ФЗ).

10.4. Согласие на аналитические cookie проще всего отозвать на самом Сайте: «Настройки cookie» внизу страницы, затем «Отказаться».

11. Заключительные положения

11.1. Оператор вправе изменять Политику, в том числе при изменении законодательства. Новая редакция действует с момента публикации на Сайте, если в ней не указано иное. Действующая редакция всегда доступна на этой странице, дата редакции указана в её начале.

11.2. Вопросы о Политике можно задать по телефону +7 (913) 486-45-21 или лично в студии: г. Новосибирск, ул. Автогенная, 143, пн–сб 9:00–19:00.