Политика в отношении обработки персональных данных

1. Общие положения

1.1.     Настоящая Политика в отношении обработки персональных данных (далее — «Политика») разработана в соответствии с пунктом 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон № 152-ФЗ») и определяет политику Публичного акционерного общества «Абрау-Дюрсо» (далее — «Оператор», «Общество») в отношении обработки персональных данных, а также сведения о реализуемых требованиях к защите персональных данных.

1.2.     Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности, принимаемые Оператором с целью защиты прав и свобод человека и гражданина при обработке его персональных данных, в том числе защиты прав на неприкосновенность частной жизни, личную и семейную тайну.

1.3.     Политика разработана в соответствии с действующим законодательством Российской Федерации, в том числе с Конституцией Российской Федерации, Законом № 152-ФЗ, постановлениями Правительства Российской Федерации и иными нормативными правовыми актами в области персональных данных, а также с учётом рекомендаций уполномоченного органа по защите прав субъектов персональных данных.

1.4.     Действие Политики распространяется на все персональные данные субъектов, обрабатываемые Оператором с применением средств автоматизации и без применения таких средств.

1.5.     Политика является общедоступным документом и подлежит размещению на официальном сайте Оператора в информационно-телекоммуникационной сети «Интернет».

2. Основные понятия, используемые в Политике

В настоящей Политике используются понятия в значениях, определённых статьёй 3 Закона № 152-ФЗ:

-      Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).

-      Оператор — государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

-      Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

-      Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.

-      Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.

-      Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.

-      Блокирование персональных данных — временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных).

-      Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.

-      Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.

-      Информационная система персональных данных (ИСПДн) — совокупность содержащихся в базах данных персональных данных и обеспечивающих их обработку информационных технологий и технических средств.

3. Сведения об Операторе

3.1.     Полное наименование: Публичное акционерное общество «Абрау-Дюрсо».

3.2.     Сокращённое наименование: ПАО «Абрау-Дюрсо».

3.3.     ОГРН: 1077757978814; ИНН: 7727620673; КПП: 772701001.

3.4.     Адрес (место нахождения): 117186, город Москва, Севастопольский пр-кт, д.43а к.2.

3.5.     Адрес электронной почты для обращений по вопросам обработки персональных данных: welcome@abrau.ru.

3.6.     Ответственный за организацию обработки персональных данных назначается приказом Оператора в соответствии со статьёй 22.1 Закона № 152-ФЗ. Обращения к ответственному лицу направляются по реквизитам, указанным в настоящем разделе.

4. Принципы и правовые основания обработки персональных данных

4.1.     Обработка персональных данных у Оператора осуществляется на основе принципов, установленных статьёй 5 Закона № 152-ФЗ:

-      обработка персональных данных осуществляется на законной и справедливой основе;

-      обработка ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка, несовместимая с целями сбора персональных данных;

-      не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;

-      обработке подлежат только персональные данные, которые отвечают целям их обработки. Содержание и объём обрабатываемых данных соответствуют заявленным целям и не являются избыточными по отношению к ним;

-      при обработке обеспечиваются точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки;

-      хранение персональных данных осуществляется в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором;

-      по достижении целей обработки или в случае утраты необходимости в достижении этих целей персональные данные подлежат уничтожению или обезличиванию, если иное не предусмотрено законом.

4.2.     Правовым основанием обработки персональных данных являются Конституция Российской Федерации, Федеральный закон № 152-ФЗ, Трудовой кодекс Российской Федерации, Налоговый кодекс Российской Федерации, Гражданский кодекс Российской Федерации, иные нормативные правовые акты Российской Федерации, уставные и учредительные документы Оператора, договоры, заключаемые между Оператором и субъектами персональных данных, а также согласия субъектов на обработку их персональных данных.

5. Категории субъектов персональных данных и состав обрабатываемых данных

5.1.     Оператор обрабатывает персональные данные следующих категорий субъектов:

-      работники Оператора, бывшие работники, кандидаты на замещение вакантных должностей, а также родственники работников в объёме, необходимом для исполнения требований законодательства;

-      клиенты и покупатели — физические лица, в том числе посетители официальных сайтов Оператора и пользователи чат-бота Оператора в мессенджере;

-      контрагенты Оператора (физические лица), а также представители и работники контрагентов — юридических лиц;

-      иные физические лица, обратившиеся к Оператору или вступившие с ним во взаимодействие.

5.2.     Состав обрабатываемых персональных данных определяется целями обработки и категорией субъекта и может включать:

-      фамилию, имя, отчество;

-      номер контактного телефона;

-      адрес электронной почты;

-      дату и место рождения;

-      реквизиты документов, удостоверяющих личность;

-      сведения о месте работы и должности;

-      платёжные и иные данные, необходимые для исполнения договоров.

5.3.     В отношении пользователей чат-бота Оператора в мессенджере обрабатываются

-      фамилия, имя, отчество;

-      номер контактного телефона;

-      адрес электронной почты.

5.4.     Оператор не обрабатывает специальные категории персональных данных (о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни), за исключением случаев, прямо предусмотренных законодательством Российской Федерации. Биометрические персональные данные обрабатываются только при наличии согласия в письменной форме и в случаях, установленных законом.

6. Цели обработки персональных данных

6.1.     Оператор обрабатывает персональные данные в следующих целях:

-      исполнение трудового законодательства, ведение кадрового учёта, организация труда работников, исчисление и уплата налогов, сборов и страховых взносов;

-      заключение, исполнение и прекращение гражданско-правовых договоров с физическими и юридическими лицами;

-      продвижение товаров и услуг Оператора, обработка обращений и заявок клиентов, в том числе поступающих через официальный сайт и чат-бот;

-      идентификация пользователей и обеспечение взаимодействия с ними посредством чат-бота, предоставление ответов на обращения и запросы;

-      информирование о товарах, услугах, мероприятиях и акциях Оператора (рекламное информирование — при наличии отдельного согласия в соответствии с законодательством о рекламе);

-      исполнение требований законодательства Российской Федерации, в том числе предоставление сведений по запросам уполномоченных государственных органов.

7. Порядок и условия обработки персональных данных

7.1.     Обработка персональных данных осуществляется Оператором с согласия субъекта персональных данных, а также в иных случаях, предусмотренных частью 1 статьи 6 Закона № 152-ФЗ (для исполнения договора, требований законодательства и т. п.).

7.2.     Обработка персональных данных осуществляется как с использованием средств автоматизации, так и без использования таких средств. Совокупность операций включает сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, передачу, обезличивание, блокирование, удаление и уничтожение персональных данных.

7.3.     Оператор не осуществляет распространение персональных данных (раскрытие неопределённому кругу лиц), за исключением случаев, когда субъект предоставил отдельное согласие на распространение в порядке статьи 10.1 Закона № 152-ФЗ.

7.4.     Передача персональных данных третьим лицам осуществляется в целях, указанных в настоящей Политике, и в объёме, необходимом для их достижения, на основании договора (поручения на обработку), отвечающего требованиям статьи 6 Закона № 152-ФЗ, либо в случаях, прямо предусмотренных законодательством Российской Федерации.

7.5.     Трансграничная передача персональных данных осуществляется Оператором с соблюдением требований статьи 12 Закона № 152-ФЗ. По общему правилу Оператор не осуществляет трансграничную передачу персональных данных.

7.6.     Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с частью 5 статьи 18 Закона № 152-ФЗ.

8. Сроки обработки и хранения персональных данных

8.1.     Сроки обработки и хранения персональных данных определяются исходя из целей обработки, в соответствии с условиями договоров с субъектами, сроками, установленными законодательством Российской Федерации, а также сроком действия согласия субъекта персональных данных.

8.2.     Персональные данные хранятся в течение срока, необходимого для достижения целей их обработки, если иной срок не установлен законодательством Российской Федерации. По достижении целей обработки либо в случае отзыва субъектом согласия персональные данные подлежат уничтожению или обезличиванию в сроки, установленные законодательством, если их сохранение не требуется в иных предусмотренных законом целях.

9. Права субъектов персональных данных

9.1.     Субъект персональных данных имеет право на получение информации, касающейся обработки его персональных данных, в объёме, предусмотренном статьёй 14 Закона № 152-ФЗ, в том числе сведений о целях, способах и сроках обработки, о лицах, имеющих доступ к данным или которым они могут быть переданы.

9.2.     Субъект вправе требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также принимать предусмотренные законом меры по защите своих прав.

9.3.     Субъект вправе отозвать согласие на обработку персональных данных. В случае отзыва согласия Оператор прекращает обработку и уничтожает персональные данные в срок, не превышающий тридцати дней с даты поступления отзыва, если иное не предусмотрено законодательством или если обработка может осуществляться без согласия в силу закона.

9.4.     Запросы и обращения субъектов персональных данных направляются Оператору по адресу места нахождения или по адресу электронной почты, указанным в разделе 3 настоящей Политики. Оператор рассматривает обращения и предоставляет ответы в сроки, установленные Законом № 152-ФЗ.

9.5.     Субъект вправе обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.

10. Сведения о реализуемых требованиях к защите персональных данных

10.1. Оператор принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных, в соответствии со статьёй 19 Закона № 152-ФЗ.

Принимаемые Оператором меры включают, в частности:

-      назначение лица, ответственного за организацию обработки персональных данных;

-      издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников;

-      определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных;

-      применение организационных и технических мер по обеспечению безопасности персональных данных в соответствии с требованиями, установленными Правительством Российской Федерации и ФСТЭК России (Приказ ФСТЭК России от 18.02.2013 № 21), а также при необходимости средств криптографической защиты;

-      ограничение и разграничение доступа работников к персональным данным, учёт лиц, допущенных к обработке;

-      осуществление внутреннего контроля соответствия обработки персональных данных требованиям законодательства;

-      оценка вреда, который может быть причинён субъектам персональных данных в случае нарушения требований Закона № 152-ФЗ;

-      восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.

11. Особенности обработки данных при использовании сайта и чат-бота

11.1. При посещении официального сайта Оператора могут обрабатываться сведения, автоматически передаваемые оборудованием и программным обеспечением пользователя, в том числе файлы cookie, IP-адрес, сведения о браузере. Файлы cookie используются в целях обеспечения работы сайта, аналитики и улучшения качества сервиса. Пользователь вправе отключить cookie в настройках браузера.

11.2. Сбор персональных данных через формы на сайте и через чат-бот Оператора в мессенджере осуществляется с согласия субъекта персональных данных, которое предоставляется до начала обработки. Условия обработки доводятся до субъекта посредством настоящей Политики и формы согласия на обработку персональных данных.

11.3. В чат-боте Оператора в мессенджере согласие на обработку персональных данных запрашивается в начале взаимодействия. В случае отказа от предоставления согласия обработка персональных данных не осуществляется.

12. Заключительные положения

12.1. Настоящая Политика вступает в силу с момента её утверждения приказом Оператора и действует бессрочно, до замены её новой редакцией.

12.2. Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция Политики размещается на официальном сайте Оператора. Использование сайта и сервисов Оператора после внесения изменений означает согласие пользователя с актуальной редакцией Политики.

12.3. Контроль за исполнением требований настоящей Политики осуществляет лицо, ответственное за организацию обработки персональных данных у Оператора.