Политика конфиденциальности и обработки персональных данных

Ассоциации разработчиков программного обеспечения «РУССОФТ»

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Политика конфиденциальности и обработки персональных данных (далее — Политика) определяет порядок обработки персональных данных Ассоциации разработчиков программного обеспечения «РУССОФТ» (ОГРН: 1027810308536, ИНН: 7826711265, КПП: 783801001, юридический адрес: 190000, город Санкт-Петербург, пер. Пирогова, д.7, 5, далее — Оператор, Ассоциация «РУССОФТ») и сведения о реализуемых Оператором требованиях к защите персональных данных.

1.2. Политика разработана в соответствии с Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», Федеральным законом от 13.03.2006 № 38-ФЗ «О рекламе», Постановлением Правительства Российской Федерации от 01.11.2012 № 1119, Постановлением Правительства Российской Федерации от 15.09.2008 № 687, Приказом ФСТЭК России от 18.02.2013 № 21, Приказом ФСБ России от 10.07.2014 № 378, иными нормативными правовыми актами Российской Федерации в области персональных данных и защиты информации.

1.3. Цель Политики — обеспечить прозрачность обработки персональных данных, защиту прав и свобод субъектов персональных данных, включая право на неприкосновенность частной жизни, личную и семейную тайну, а также соблюдение Оператором требований законодательства Российской Федерации.

1.4. Политика применяется ко всем персональным данным, которые Оператор обрабатывает с использованием средств автоматизации, в том числе через сайты, формы, информационные системы, электронную почту, сервисы рассылок и платформы проведения опросов, а также без использования средств автоматизации, если такая обработка соответствует характеру автоматизированной обработки.

1.5. Политика подлежит опубликованию в открытом доступе на сайте Оператора и на страницах сайта, через которые осуществляется сбор персональных данных. В случае изменения порядка обработки персональных данных Оператор актуализирует Политику.

2. ОСНОВНЫЕ ПОНЯТИЯ

2.1. Персональные данные — любая информация, относящаяся к прямо или косвенно определенному, или определяемому физическому лицу.

2.2. Субъект персональных данных — физическое лицо, к которому относятся персональные данные.

2.3. Оператор — юридическое лицо, самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и действия, совершаемые с персональными данными.

2.4. Обработка персональных данных — любое действие или совокупность действий с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.

2.5. Автоматизированная обработка персональных данных — обработка персональных данных с помощью средств вычислительной техники.

2.6. Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределенному кругу лиц.

2.7. Предоставление персональных данных — действия, направленные на раскрытие персональных данных определенному лицу или определенному кругу лиц.

2.8. Обезличивание персональных данных — действия, в результате которых без использования дополнительной информации невозможно определить принадлежность персональных данных конкретному субъекту.

2.9. Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) уничтожаются материальные носители персональных данных.

2.10. Лицо, осуществляющее обработку персональных данных по поручению Оператора, — лицо, которое обрабатывает персональные данные на основании договора или иного законного основания по поручению Оператора и в определенных Оператором целях.

2.11. Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства иностранному лицу или иностранному органу власти.

3. СВЕДЕНИЯ ОБ ОПЕРАТОРЕ

4. ПРИНЦИПЫ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

4.1. Оператор соблюдает следующий принцип: обработка осуществляется на законной и справедливой основе;

4.2. Оператор соблюдает следующий принцип: обработка ограничивается достижением конкретных, заранее определенных и законных целей;

4.3. Оператор соблюдает следующий принцип: не допускается обработка персональных данных, несовместимая с целями их сбора;

4.4. Оператор соблюдает следующий принцип: не допускается объединение баз данных, если цели их обработки несовместимы;

4.5. Оператор соблюдает следующий принцип: обрабатываются только персональные данные, соответствующие заявленным целям;

4.6. Оператор соблюдает следующий принцип: содержание и объем персональных данных не являются избыточными по отношению к целям обработки;

4.7. Оператор соблюдает следующий принцип: при обработке обеспечиваются точность, достаточность и актуальность персональных данных;

4.8. Оператор соблюдает следующий принцип: хранение персональных данных осуществляется не дольше, чем этого требуют цели обработки, если иной срок не установлен законом, договором или согласием субъекта;

4.9. Оператор соблюдает следующий принцип: по достижении целей обработки или при утрате необходимости в достижении таких целей персональные данные уничтожаются либо обезличиваются, если иное не предусмотрено законом.

5. ПРАВОВЫЕ ОСНОВАНИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

5.1. Оператор обрабатывает персональные данные при наличии одного или нескольких правовых оснований, предусмотренных законодательством Российской Федерации.

5.2. Правовым основанием обработки может являться: согласие субъекта персональных данных на обработку его персональных данных;

5.3. Правовым основанием обработки может являться: необходимость исполнения договора, стороной которого, выгодоприобретателем или поручителем, по которому является субъект персональных данных, либо заключения договора по инициативе субъекта;

5.4. Правовым основанием обработки может являться: необходимость исполнения обязанностей Оператора, установленных законодательством Российской Федерации;

5.5. Правовым основанием обработки может являться: осуществление прав и законных интересов Оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных;

5.6. Правовым основанием обработки может являться: обработка персональных данных в статистических или иных исследовательских целях при условии обязательного обезличивания персональных данных;

5.7. Правовым основанием обработки может являться: обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом;

5.8. Правовым основанием обработки может являться: иные основания, предусмотренные законодательством Российской Федерации.

5.9. При обработке персональных данных на основании согласия Оператор обеспечивает получение согласия в форме, позволяющей подтвердить факт его получения, если иное не установлено законом. Согласие должно быть свободным, конкретным, предметным, информированным, сознательным и однозначным.

5.10. Если персональные данные обрабатываются для направления рекламы по сетям электросвязи, Оператор получает отдельное предварительное согласие субъекта персональных данных на получение рекламных сообщений.

6. ЦЕЛИ ОБРАБОТКИ, КАТЕГОРИИ СУБЪЕКТОВ И ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Оператор обрабатывает персональные данные только для целей, указанных в настоящем разделе. Для каждой цели Оператор определяет категории субъектов, категории и перечень персональных данных, правовое основание, способы обработки, сроки обработки и порядок уничтожения.

6.2. Функционирование сайта Оператора, обеспечение его безопасности и аналитика посещаемости:

6.3. Прием и обработка обращений, запросов, заявок и обратной связи:

 6.4. Организация информационных рассылок Оператора:

6.5. Направление рекламных и маркетинговых сообщений:

 6.6. Организация и проведение мероприятий, регистрация участников, коммуникация по вопросам мероприятия:

6.7. Рассмотрение заявок на вступление в Ассоциацию «РУССОФТ» и сопровождение членства:

 6.8. Предоставление доступа к закрытым разделам сайта и иным информационным ресурсам Оператора:

 6.9. Проведение отраслевых исследований, опросов и анкетирования, включая опросы через платформу Testograf:

 6.10. Публикация материалов, новостей, комментариев, экспертных мнений, фото- и видеоматериалов:

 6.11. Заключение, исполнение и сопровождение договоров с контрагентами:

 6.12. Подбор персонала, рассмотрение резюме и взаимодействие с кандидатами:

 6.13. Ведение кадрового, бухгалтерского, налогового и иного обязательного учета работников и иных лиц, с которыми Оператор состоит в трудовых или гражданско-правовых отношениях:

7. ПОРЯДОК И УСЛОВИЯ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

7.1. Оператор осуществляет обработку персональных данных как с использованием средств автоматизации, так и без использования таких средств.

7.2. Оператор совершает с персональными данными действия, необходимые для достижения соответствующих целей обработки: сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, предоставление, доступ, обезличивание, блокирование, удаление и уничтожение.

7.3. Оператор не принимает решений, порождающих юридические последствия для субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных, если иное не предусмотрено законодательством Российской Федерации или отдельным согласием субъекта.

7.4. Персональные данные не являются общедоступными, если субъект персональных данных не предоставил отдельное согласие на обработку персональных данных, разрешенных им для распространения, либо если обязанность раскрытия данных не установлена законом.

7.5. При обработке персональных данных без использования средств автоматизации Оператор обеспечивает обособление персональных данных от иной информации, ограничение доступа к материальным носителям и соблюдение правил хранения, использования, уточнения и уничтожения таких данных.

8. ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ПРОВЕДЕНИИ ОПРОСОВ ЧЕРЕЗ TESTOGRAF

8.1. При проведении отраслевых исследований и опросов через платформу «Testograf» Оператор является оператором персональных данных респондентов, поскольку определяет цели опроса, состав вопросов, перечень собираемых данных и дальнейшее использование результатов.

8.2. ООО «ТЕСТОГРАФ» (ИНН/КПП 5003118105/500301001, адрес: 142034, Московская область, город Видное, поселок Мещерино, мкр. Южные горки, д. 45, кв. 2) является лицом, осуществляющим обработку персональных данных респондентов по поручению Оператора в целях технической организации и проведения опросов, хранения данных на платформе, передачи результатов Оператору, удаления и уничтожения данных.

8.3. Договорным основанием поручения обработки персональных данных через «Testograf» является публичная оферта «Testograf», акцептованная Оператором, и иные документы, подтверждающие использование платформы. Оператор хранит подтверждение акцепта оферты, счетов, оплаты, переписки, ответа «Testograf» и иных документов по проекту.

8.4. Перед прохождением опроса респонденту предоставляется информационный текст о целях обработки, составе данных, Операторе и использовании платформы «Testograf». Если при опросе собираются контактные данные или ответы, позволяющие идентифицировать респондента, Оператор получает согласие респондента на обработку персональных данных и поручение обработки ООО «ТЕСТОГРАФ».

8.5. Опросы не должны содержать вопросы, направленные на сбор специальных категорий персональных данных или биометрических персональных данных, если для такой обработки заранее не подготовлены отдельные правовые основания, согласия и меры защиты.

8.6. Результаты исследований публикуются в обезличенном или агрегированном виде, если у Оператора отсутствует отдельное согласие субъекта на публикацию его идентифицируемых персональных данных, цитаты, должности, организации, изображения или иных сведений.

9. ФАЙЛЫ COOKIE И МЕТРИЧЕСКИЕ ПРОГРАММЫ

9.1. Сайт Оператора может использовать файлы cookie, пиксели, теги, журналы сервера и иные аналогичные технологии для обеспечения работы сайта, запоминания пользовательских настроек, анализа посещаемости, обеспечения безопасности и улучшения пользовательского опыта.

9.2. Оператор информирует пользователя об использовании cookie и, когда это необходимо, получает согласие пользователя на обработку cookie и технических данных. Пользователь может ограничить или отключить cookie в настройках браузера, однако это может повлиять на работу отдельных функций сайта.

9.3. Если Оператор использует сторонние метрические, аналитические или рекламные сервисы, сведения о таких сервисах, целях их использования и возможной передаче данных указываются в cookie-уведомлении и (или) отдельном разделе сайта.

10. ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ И ПОРУЧЕНИЕ ОБРАБОТКИ

10.1. Оператор может предоставлять персональные данные работникам Оператора, подрядчикам, партнерам, лицам, осуществляющим обработку персональных данных по поручению Оператора, государственным органам и иным лицам в случаях, когда такая передача необходима для достижения целей обработки, исполнения договора, исполнения требований закона или защиты прав и законных интересов Оператора.

10.2. Оператор поручает обработку персональных данных третьим лицам только при наличии договора или иного законного основания. В поручении определяются перечень персональных данных, действия с ними, цели обработки, обязанность соблюдать конфиденциальность, требования к защите персональных данных и обязанность уведомлять Оператора об инцидентах безопасности.

10.3. Лица, осуществляющие обработку персональных данных по поручению Оператора, не вправе использовать персональные данные для собственных целей, если иное не предусмотрено отдельным законным основанием.

10.4. Оператор может привлекать для обработки персональных данных, в том числе: хостинг-провайдеров, сервисы рассылок, сервисы аналитики, платформы проведения опросов, подрядчиков по организации мероприятий, ИТ-подрядчиков, бухгалтерских и юридических консультантов.

10.5. Для отдельных процессов обработки персональных данных Оператор вправе использовать информационные системы третьих лиц (сервисы проведения опросов, сервисы рассылок, CRM-системы, облачные сервисы и иные информационные системы). Такие лица привлекаются при наличии предусмотренных законодательством оснований и с соблюдением требований законодательства Российской Федерации о персональных данных.

11. ТРАНСГРАНИЧНАЯ ПЕРЕДАЧА ПЕРСОНАЛЬНЫХ ДАННЫХ

11.1. Оператор не осуществляет трансграничную передачу персональных данных, если иное прямо не указано в настоящей Политике, согласии субъекта персональных данных, договоре с субъектом или ином документе Оператора.

11.2. При возникновении необходимости трансграничной передачи персональных данных Оператор до начала такой передачи выполняет требования статьи 12 Федерального закона № 152-ФЗ, включая направление уведомления в Роскомнадзор, получение необходимых сведений от иностранного получателя персональных данных и проверку наличия оснований для передачи.

11.3. При обработке персональных данных граждан Российской Федерации Оператор обеспечивает выполнение требования о локализации: запись, систематизация, накопление, хранение, уточнение и извлечение таких данных осуществляются с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, предусмотренных законом.

12. ПЕРСОНАЛЬНЫЕ ДАННЫЕ, РАЗРЕШЕННЫЕ ДЛЯ РАСПРОСТРАНЕНИЯ

12.1. Оператор не распространяет персональные данные неопределенному кругу лиц без отдельного согласия субъекта на обработку персональных данных, разрешенных субъектом персональных данных для распространения, если обязанность раскрытия данных не установлена законом.

12.2. Согласие на распространение персональных данных оформляется отдельно от иных согласий и должно позволять определить, какие именно персональные данные субъект разрешает распространять, а также условия и запреты на их распространение.

12.3. Если субъект персональных данных требует прекратить распространение его персональных данных, Оператор прекращает распространение в сроки и порядке, предусмотренные законодательством Российской Федерации.

13. СПЕЦИАЛЬНЫЕ КАТЕГОРИИ И БИОМЕТРИЧЕСКИЕ ПЕРСОНАЛЬНЫЕ ДАННЫЕ

13.1. Оператор не осуществляет целенаправленный сбор специальных категорий персональных данных, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни, если иное прямо не предусмотрено законодательством Российской Федерации или отдельным согласием субъекта персональных данных.

13.2. Оператор не осуществляет целенаправленную обработку биометрических персональных данных для установления личности субъекта, если иное прямо не предусмотрено законодательством Российской Федерации или отдельным согласием субъекта персональных данных.

13.3. Если субъект самостоятельно указывает специальные категории персональных данных в свободном поле формы, анкете, обращении или ином сообщении без запроса Оператора, Оператор вправе удалить такие сведения либо запросить отдельное согласие, если дальнейшая обработка таких сведений необходима и допустима по закону.

14. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ

14.1. Оператор принимает необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения и иных неправомерных действий.

14.2. К мерам Оператора относятся: назначение лица, ответственного за организацию обработки персональных данных;

14.3. К мерам Оператора относятся: издание локальных актов по вопросам обработки и защиты персональных данных;

14.4. К мерам Оператора относятся: определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

14.5. К мерам Оператора относятся: применение организационных и технических мер защиты персональных данных с учетом уровня защищенности информационных систем;

14.6. К мерам Оператора относятся: разграничение прав доступа к персональным данным и информационным системам;

14.7. К мерам Оператора относятся: учет лиц, имеющих доступ к персональным данным;

14.8. К мерам Оператора относятся: регистрация и учет действий с персональными данными, когда это применимо;

14.9. К мерам Оператора относятся: контроль за принимаемыми мерами защиты и внутренний контроль соответствия обработки персональных данных законодательству;

14.10. К мерам Оператора относятся: обнаружение фактов неправомерного доступа к персональным данным и принятие мер по реагированию;

14.11. К мерам Оператора относятся: восстановление персональных данных, измененных или уничтоженных вследствие неправомерного доступа, если это возможно и требуется;

14.12. К мерам Оператора относятся: ознакомление работников с требованиями законодательства, настоящей Политикой и локальными актами Оператора;

14.13. К мерам Оператора относятся: оценка вреда, который может быть причинен субъектам персональных данных при нарушении законодательства, и соотношение вреда с принимаемыми мерами.

14.14. При использовании средств криптографической защиты информации Оператор применяет меры, предусмотренные нормативными правовыми актами ФСБ России и эксплуатационной документацией на соответствующие средства защиты.

15. СРОКИ ХРАНЕНИЯ, УТОЧНЕНИЕ, БЛОКИРОВАНИЕ, УДАЛЕНИЕ И УНИЧТОЖЕНИЕ

15.1. Персональные данные хранятся в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если иной срок не установлен законодательством Российской Федерации, договором или согласием субъекта персональных данных.

15.2. При достижении целей обработки, утрате необходимости в достижении таких целей, отзыве согласия или выявлении неправомерной обработки Оператор прекращает обработку персональных данных, уничтожает их или обеспечивает их уничтожение, если иное не предусмотрено законодательством Российской Федерации.

15.3. При выявлении неточных персональных данных Оператор уточняет такие данные либо обеспечивает их уточнение. На период проверки персональные данные могут быть заблокированы, если блокировка не нарушает права и законные интересы субъекта или третьих лиц.

15.4. Если персональные данные обрабатываются лицом, действующим по поручению Оператора, Оператор обеспечивает направление такому лицу указаний о блокировании, уточнении, прекращении обработки, удалении или уничтожении персональных данных в случаях, предусмотренных законодательством и договором.

15.5. Уничтожение персональных данных оформляется способом, позволяющим подтвердить факт уничтожения, если такое подтверждение требуется законодательством, внутренними актами Оператора или условиями договора.

16. ПРАВА СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

16.1. Субъект персональных данных имеет право: получать информацию, касающуюся обработки его персональных данных;

16.2. Субъект персональных данных имеет право: требовать уточнения персональных данных, их блокирования или уничтожения, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;

16.3. Субъект персональных данных имеет право: отозвать согласие на обработку персональных данных;

16.4. Субъект персональных данных имеет право: требовать прекращения обработки персональных данных в случаях, предусмотренных законодательством;

16.5. Субъект персональных данных имеет право: обжаловать действия или бездействие Оператора в Роскомнадзор или в суд;

16.6. Субъект персональных данных имеет право: требовать возмещения убытков и (или) компенсации морального вреда в судебном порядке;

16.7. Субъект персональных данных имеет право: реализовывать иные права, предусмотренные законодательством Российской Федерации.

17. ПОРЯДОК ОБРАЩЕНИЯ СУБЪЕКТОВ ПЕРСОНАЛЬНЫХ ДАННЫХ

17.1. Субъект персональных данных или его представитель вправе направить Оператору запрос о предоставлении информации, касающейся обработки персональных данных, требование об уточнении, блокировании, уничтожении персональных данных, отзыв согласия или требование о прекращении обработки персональных данных.

17.2. Запрос направляется по адресу электронной почты info@russoft.org либо по адресу места нахождения Оператора: 190000, город Санкт-Петербург, пер. Пирогова, д.7, 5.

17.3. Запрос должен содержать сведения, позволяющие идентифицировать субъекта персональных данных и подтвердить его связь с Оператором, а также подпись субъекта или его представителя. Запрос в форме электронного документа должен быть подписан электронной подписью в соответствии с законодательством Российской Федерации, если это требуется законом.

17.4. Оператор предоставляет ответ на запрос субъекта персональных данных в сроки, установленные законодательством Российской Федерации. При необходимости Оператор вправе запросить дополнительные сведения для идентификации субъекта и подтверждения полномочий представителя.

18. РЕКЛАМНЫЕ И ИНФОРМАЦИОННЫЕ РАССЫЛКИ

18.1. Оператор может направлять субъектам персональных данных информационные сообщения, связанные с деятельностью Ассоциации «РУССОФТ», мероприятиями, членством, исследованиями, обработкой обращений и исполнением договоров, при наличии соответствующего правового основания.

18.2. Рекламные и маркетинговые сообщения по сетям электросвязи направляются только при наличии предварительного согласия субъекта на получение рекламы. Оператор прекращает направление рекламных сообщений по требованию субъекта.

18.3. Согласие на рекламную рассылку оформляется отдельно от согласия на обработку персональных данных для иных целей, если рассылка имеет рекламный характер.

19. ЗАКЛЮЧИТЕЛЬНЫЕ ПОЛОЖЕНИЯ

19.1. Настоящая Политика вступает в силу с даты ее утверждения и действует до утверждения новой редакции.

19.2. Оператор вправе изменять Политику при изменении законодательства Российской Федерации, фактических процессов обработки персональных данных, состава используемых информационных систем, подрядчиков, целей или способов обработки персональных данных.

19.3. Актуальная редакция Политики размещается на сайте Оператора. Предыдущие редакции Политики хранятся Оператором 1 (один) месяц после издания новой редакции.

19.4. В части, не урегулированной настоящей Политикой, Оператор руководствуется законодательством Российской Федерации о персональных данных, информации, защите информации, рекламе, архивном деле, трудовом и налоговом законодательстве.

20. РЕКВИЗИТЫ ОПЕРАТОРА