Политика в отношении обработки персональных данных ООО «ЛЕГАСТА»

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности в Обществе с ограниченной ответственностью «ЛЕГАСТА» (далее — Оператор) и разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).

1.2. Оператор: Общество с ограниченной ответственностью «ЛЕГАСТА», ОГРН 1267800063816, ИНН 7802976150, КПП 780201001, адрес: 194355, г. Санкт-Петербург, вн.тер.г. муниципальный округ Шувалово-Озерки, ш. Выборгское, д. 15, литера А, кв. 229, e-mail: info@legasta.ru.

1.3. Политика применяется ко всем персональным данным, которые Оператор обрабатывает, в том числе полученным через сайт legasta.ru и все его поддомены (далее — Сайт), электронную почту, а также на бумажных носителях.

1.4. Ответственный за организацию обработки персональных данных — генеральный директор Бизяркин Ярослав Сергеевич, e-mail: info@legasta.ru.

1.5. Политика является общедоступным документом и размещена на Сайте по адресу legasta.ru/privacy. Оператор вправе изменять Политику; новая редакция вступает в силу с даты её размещения на Сайте, если в ней не указано иное. Предыдущие редакции хранятся Оператором.

1.6. Термины «персональные данные», «обработка», «автоматизированная обработка», «предоставление», «распространение», «блокирование», «уничтожение», «обезличивание», «трансграничная передача» используются в значениях, установленных ст. 3 Закона о персональных данных. Пользователь — лицо, посещающее Сайт или использующее его сервисы. Клиент — физическое лицо, заключившее с Оператором договор или намеренное его заключить.

1.7. Обработка персональных данных осуществляется на основе принципов законности и справедливости; ограничения обработки конкретными заранее определёнными целями; соответствия содержания и объёма данных заявленным целям; недопустимости объединения баз данных с несовместимыми целями; точности и актуальности данных; хранения данных не дольше, чем того требуют цели обработки или закон.

2. Правовые основания обработки

2.1. Оператор обрабатывает персональные данные только при наличии основания, предусмотренного ст. 6 Закона о персональных данных: согласие субъекта; необходимость заключения и исполнения договора, стороной которого является субъект; исполнение обязанностей, возложенных на Оператора законодательством; обработка в статистических целях при условии обезличивания.

2.2. Нормативные акты, во исполнение которых Оператор обрабатывает данные: Гражданский кодекс РФ; Трудовой кодекс РФ; Налоговый кодекс РФ; Федеральный закон от 25.02.2022 № 17-ФЗ «О проведении эксперимента по установлению специального налогового режима «Автоматизированная упрощённая система налогообложения»»; Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»; Федеральный закон от 01.04.1996 № 27-ФЗ «Об индивидуальном (персонифицированном) учёте в системах обязательного пенсионного и обязательного социального страхования»; Федеральный закон от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники…»; Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей»; Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»; Федеральный закон от 28.03.1998 № 53-ФЗ «О воинской обязанности и военной службе»; устав Оператора; договоры с субъектами персональных данных.

2.3. Если основанием обработки является согласие, Пользователь даёт его отметкой в чекбоксе на Сайте (при регистрации, отправке заявки, оформлении заказа). Текст согласия с перечнем данных, целей и получателей размещён по адресу legasta.ru/consent и доступен по ссылке рядом с чекбоксом до проставления отметки. Согласие на получение рекламных сообщений в соответствии со ст. 18 Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» даётся отдельной отметкой и не является условием заключения договора. Согласие на использование файлов cookie даётся в cookie-баннере в порядке, установленном разделом 5. Факт посещения Сайта сам по себе согласием на обработку персональных данных не является.

3. Цели, категории субъектов и состав данных

3.1. Оператор обрабатывает персональные данные клиентов, пользователей Сайта, лиц, направивших обращения, работников и представителей контрагентов для заключения и исполнения договоров, ведения личного кабинета, приёма оплаты и возвратов, рассмотрения обращений, информирования о продуктах, анализа работы Сайта и исполнения обязанностей, возложенных на Оператора законом. Для каждой цели категории субъектов и перечень данных определены в Приложении № 1 к настоящей Политике, которое является её неотъемлемой частью. Правовые основания обработки указаны в разделе 2. Способы, сроки обработки и хранения и порядок уничтожения данных по каждой цели определены внутренним Положением об обработке персональных данных, утверждённым Оператором.

3.2. Специальные категории персональных данных (о состоянии здоровья, расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, интимной жизни, судимости) и биометрические персональные данные Оператор не обрабатывает.

3.3. Оператор не заключает договоры с лицами, не достигшими 18 лет, и не обрабатывает их данные без согласия законного представителя. Если Оператору станет известно, что данные передал несовершеннолетний без такого согласия, данные уничтожаются.

3.4. Сбор реквизитов банковского счёта клиента осуществляется исключительно для возврата денежных средств на основании заявления клиента. Данные банковских карт при оплате вводятся на странице платёжного сервиса и Оператору не передаются.

3.5. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки. Решение об одобрении оплаты частями или рассрочки принимает самостоятельно соответствующий финансовый сервис по своим правилам.

4. Порядок и условия обработки

4.1. Оператор осуществляет смешанную обработку персональных данных — с использованием средств автоматизации и без них, с передачей по информационно-телекоммуникационной сети «Интернет».

4.2. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.

4.3. Персональные данные Оператор получает непосредственно от субъекта (формы на Сайте, регистрация, переписка, документы), автоматически при использовании Сайта (файлы cookie и технические данные), а также от платёжных сервисов — в объёме сведений о совершённой оплате.

4.4. Локализация. Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации. Сайт и базы данных размещены на серверах ООО «АЙТИБ» (HOSTKEY) в дата-центре в г. Москве; резервные копии также хранятся на территории Российской Федерации.

4.5. Трансграничная передача персональных данных не осуществляется.

4.6. Передача третьим лицам. Оператор передаёт персональные данные и поручает их обработку только в объёме, необходимом для соответствующей цели. С каждым лицом, которому поручается обработка, заключается договор (поручение) в соответствии с ч. 3 ст. 6 Закона о персональных данных, обязывающий соблюдать конфиденциальность, обеспечивать безопасность данных и не использовать их в собственных целях. Ответственность перед субъектом за действия лица, осуществляющего обработку по поручению, несёт Оператор. Получатели данных:

4.7. Оператор предоставляет персональные данные государственным органам без согласия субъекта только в случаях, прямо предусмотренных федеральным законом, по мотивированному запросу.

4.8. Оператор не распространяет персональные данные (не делает их общедоступными). Публикация отзывов с именем, изображением или иными данными Клиента возможна только при наличии отдельного согласия на распространение по ст. 10.1 Закона о персональных данных.

4.9. Сроки и прекращение обработки. Персональные данные хранятся не дольше, чем этого требуют цели обработки, если срок хранения не установлен федеральным законом или договором, стороной которого является субъект, и не дольше сроков, установленных Положением об обработке персональных данных Оператора. Обработка прекращается при достижении цели, истечении срока действия или отзыве согласия, выявлении неправомерной обработки, ликвидации Оператора. В этих случаях данные уничтожаются или обезличиваются в течение 30 дней, если иной срок не установлен законом. Данные, хранение которых обязательно по закону (бухгалтерские, кассовые, кадровые документы), блокируются и хранятся без использования в иных целях до истечения установленного срока. Уничтожение подтверждается актом или выгрузкой из журнала регистрации событий.

5. Использование файлов cookie и сервисов веб-аналитики

5.1. Сайт использует файлы cookie — небольшие текстовые файлы, сохраняемые в браузере Пользователя.

5.2. Технически необходимые файлы cookie устанавливаются без согласия Пользователя, поскольку их использование необходимо для обеспечения функционирования Сайта и оказания запрошенных Пользователем услуг. Функциональные, аналитические и маркетинговые файлы cookie устанавливаются только после получения согласия Пользователя, выраженного путём выбора соответствующих категорий в информационном окне (cookie-баннере) при первом посещении Сайта. Выбор Пользователя сохраняется в течение 12 месяцев, по истечении которых согласие запрашивается повторно. Пользователь вправе в любое время изменить или отозвать согласие посредством раздела «Настройки cookie», доступного на каждой странице Сайта. Отзыв согласия не влияет на правомерность обработки, осуществлённой до его отзыва.

5.3. Сервис «Яндекс.Метрика» (ООО «Яндекс») хранит данные на серверах в Российской Федерации и передаёт Оператору обезличенные и агрегированные сведения. Вебвизор не записывает содержимое полей ввода паролей и платёжных данных. Помимо cookie-баннера, отказаться от сбора данных сервисом можно установкой расширения «Блокировщик Яндекс.Метрики» (yandex.ru/support/metrica/general/opt-out.html).

5.4. Cookie можно удалить или заблокировать в настройках браузера. Отказ от аналитических и маркетинговых cookie не ограничивает доступ к Сайту и услугам; отключение технически необходимых cookie может нарушить работу личного кабинета и оплаты.

5.5. Оператор не использует сервисы аналитики и рекламы, хранящие данные за пределами Российской Федерации.

6. Права субъектов персональных данных

6.1. Субъект персональных данных вправе:

• получать сведения об обработке своих данных: факт обработки, правовые основания и цели, способы, состав данных, сроки, получателей, наименование лиц, обрабатывающих данные по поручению Оператора;
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не нужны для заявленной цели;
• отозвать согласие на обработку персональных данных;
• возражать против обработки в целях продвижения товаров и услуг;
• обжаловать действия или бездействие Оператора в Роскомнадзор или в суд.

6.2. Запрос направляется на info@legasta.ru или почтой по адресу Оператора. Запрос должен содержать сведения, позволяющие идентифицировать субъекта и подтвердить его участие в отношениях с Оператором (ФИО, e-mail или телефон, указанные при регистрации или оплате, номер заказа), и суть требования. Запрос с адреса электронной почты, указанного при регистрации, или из личного кабинета признаётся направленным субъектом.

6.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления.

6.4. Отзыв согласия направляется на info@legasta.ru с пометкой «Отзыв согласия». Отказ от рекламных рассылок — также по ссылке «Отписаться» в любом письме; он вступает в силу немедленно. После получения отзыва Оператор прекращает обработку и уничтожает данные в течение 30 дней, за исключением данных, обработка которых продолжается на ином законном основании (исполнение договора, обязанность хранения по закону). Отзыв согласия, на основании которого ведётся личный кабинет, влечёт удаление учётной записи и прекращение доступа к материалам, о чём Оператор предупреждает субъекта до исполнения отзыва.

7. Меры по обеспечению безопасности персональных данных

7.1. Оператор принимает правовые, организационные и технические меры, предусмотренные ст. 18.1 и 19 Закона о персональных данных, в том числе:

• назначает ответственного за организацию обработки персональных данных;
• утверждает настоящую Политику и внутренние документы по обработке персональных данных, знакомит с ними лиц, допущенных к обработке;
• оценивает вред, который может быть причинён субъектам при нарушении законодательства, и определяет актуальные угрозы безопасности;
• ограничивает доступ к данным кругом лиц, которым он необходим для выполнения обязанностей, и ведёт перечень таких лиц;
• использует аутентификацию по ключам и двухфакторную аутентификацию там, где она доступна, защищённые каналы связи (HTTPS/TLS), межсетевое экранирование, антивирусную защиту, своевременно устанавливает обновления безопасности;
• осуществляет резервное копирование и восстановление данных;
• учитывает машинные носители персональных данных и обеспечивает сохранность бумажных документов;
• ведёт учёт полученных согласий и обращений субъектов;
• осуществляет внутренний контроль соответствия обработки закону не реже одного раза в год.

7.2. При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор в течение 24 часов уведомляет Роскомнадзор об инциденте, его предполагаемых причинах, вреде и принятых мерах, а в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона о персональных данных).

8. Заключительные положения

8.1. Во всём, что не урегулировано Политикой, применяется законодательство Российской Федерации.

8.2. Вопросы по Политике и обработке персональных данных направляются по адресу: info@legasta.ru.

Реквизиты Оператора: ООО «ЛЕГАСТА», ОГРН 1267800063816, ИНН 7802976150, КПП 780201001, 194355, г. Санкт-Петербург, вн.тер.г. муниципальный округ Шувалово-Озерки, ш. Выборгское, д. 15, литера А, кв. 229, e-mail: info@legasta.ru.

Приложение № 1 к Политике. Цели обработки, категории субъектов и перечень персональных данных