Обработка персональных данных
Политика защиты и обработки персональных данных
Действует с 1 января 2023 г.
1. Общие положения
1.1. Настоящая политика защиты и обработки Персональных данных (далее – «Политика») разработана в соответствии с ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее – «Закон о персональных данных»), а также иными применимыми нормативно-правовыми актами и действует в отношении всех Персональных данных, которые Индивидуальный предприниматель Сидоров Дмитрий Анатольевич (ИНН 772377357435; ОГРНИП 310774603600752; адрес регистрации: 111673, г. Москва, ул. Новокосинская, д. 10, к. 1, кв. 230; почтовый адрес: 143900, Московская обл., г. Балашиха, мкр. Купавна, ДНП Купавушка, д. 000; e-mail: support@kinostore.ru; тел. 8 (499) 500-96-27) (далее – «Оператор») может получить от Субъекта ПД.
1.2. Оператор обеспечивает защиту обрабатываемых ПД от несанкционированного доступа и разглашения, неправомерного использования или утраты в соответствии с требованиями Закона о персональных данных.
1.3. Оператор имеет право вносить изменения в Политику. При внесении изменений в заголовке Политики указывается дата последнего обновления редакции. Новая редакция Политики вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией Политики.
1.4. Актуальная версия Политики расположена в свободном доступе в сети Интернет по адресу https://kinostore.ru/policy.
2. Термины и принятые сокращения
2.1. Персональные данные (ПД) (ранее и далее) – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту ПД), в том числе фамилия, имя, отчество, номер телефона и т. п. В случае фактического обращения Субъекта ПД за услугами и (или) товарами Оператора необходимыми для исполнения договора персональными данными так же могут являться адресные данные Субъекта ПД.
2.2. Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПД, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПД.
2.3. Автоматизированная обработка ПД – обработка ПД с помощью средств вычислительной техники.
2.4. Информационная система персональных данных (ИСПД) – совокупность содержащихся в базах данных ПД и обеспечивающих их обработку информационных технологий и технических средств.
2.5. Блокирование ПД – временное прекращение обработки ПД (за исключением случаев, если обработка необходима для уточнения ПД).
2.6. Уничтожение ПД – действия, в результате которых становится невозможным восстановить содержание ПД в ИСПД и (или) в результате которых уничтожаются материальные носители ПД.
2.7. Сайт (ранее и далее) – совокупность связанных между собой веб-страниц, размещенных в сети Интернет по уникальному адресу (URL): https://kinostore.ru/, а также на всех поддоменах, располагающихся на домене kinostore.ru.
2.8. Пользователь Сайта (или Пользователь) – любое физическое лицо, использующее Сайт в определяемых им целях, но в пределах, установленных целью и содержанием Сайта.
2.9. Субъект ПД (или Субъект) (ранее и далее) – Пользователь Сайта, оставивший свои ПД на Сайте или иным способом передавший данные Оператору с целью последующего заключения договора между Оператором и Субъектом ПД.
2.10. Трансграничная передача персональных данных – передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
3. ПД и иные данные, оставленные Субъектом ПД и Пользователем
3.1. Пользователь и Субъект ПД как обладатели ПД осознают, что за исключением случаев, установленных Политикой и законодательством Российской Федерации, Оператор не принимает участие в формировании содержания информации, размещенной Пользователем и Субъектом ПД.
4. Обработка Персональных данных
4.1. Все ПД получаются от самого Субъекта.
4.2. Обработка ПД осуществляется:
4.2.1. с согласия Субъекта ПД на обработку его ПД; оставлением своих ПД Пользователь и Субъект ПД предоставляют Оператору свое согласие на обработку его ПД;
4.2.2. в случаях, когда она необходима для осуществления и выполнения возложенных законодательством РФ на Оператора функций, полномочий и обязанностей;
4.2.3. в случаях, когда это необходимо для исполнения договора, стороной которого либо выгодоприобретателем по которому является Субъект ПД, а также для заключения договора по инициативе Субъекта ПД или договора, по которому Субъект ПД будет являться выгодоприобретателем.
4.3. Целями обработки ПД являются обратная связь с Субъектом ПД, исполнение Оператором обязательств перед Субъектом ПД, сбор аналитики (файлы Cookie):
| Цели обработки ПД |
Категории и перечень ПД |
Категории Субъектов ПД |
Способы обработки ПД |
Сроки обработки и хранения ПД |
Порядок уничтожения ПД |
| Обратная связь с Субъектом ПД |
Общие: фамилия, имя, отчество, адрес электронной почты, номер мобильного телефона, иные указанные Субъектом по своей инициативе сведения |
Лица, имеющие намерение заключить с Оператором договор |
Автоматизированный |
В течение 5 лет |
В соответствии с п. 4.6 Политики |
| Исполнение договорных обязательств перед Субъектом ПД |
Общие: фамилия, имя, отчество, адрес электронной почты, номер мобильного телефона, иные указанные Субъектом по своей инициативе сведения |
Лица, заключившие с Оператором договор |
Смешанный |
В течение 5 лет |
В соответствии с п. 4.6 Политики |
| Сбор аналитики (файлы cookie) |
Общие: в соответствии с разделом 5 Политики |
Пользователи Сайта |
Автоматизированный |
В течение 1 года |
В соответствии с п. 4.6 Политики |
Перечень третьих лиц
| Получатель / сервис | Цель передачи | Правовое основание | Категория передаваемых ПД |
|---|---|---|---|
| АО «Тинькофф Банк» (эквайринг Tinkoff Pay) | Приём и обработка платежей по заказам | ст. 6 п. 1 пп. 5 152-ФЗ, исполнение договора купли-продажи | ФИО, сумма заказа, адрес e-mail, masked-PAN |
| АО «СДЭК-Логистик» | Доставка заказов | ст. 6 п. 1 пп. 5 152-ФЗ | ФИО, телефон, адрес доставки, номер заказа |
| ФГУП «Почта России» | Доставка заказов | ст. 6 п. 1 пп. 5 152-ФЗ | ФИО, телефон, адрес доставки, номер заказа |
| ООО «НПФ ИТ-Маркет» (Boxberry) | Доставка заказов | ст. 6 п. 1 пп. 5 152-ФЗ | ФИО, телефон, адрес доставки, номер заказа |
| ООО «ФирстБайт» (FirstVDS / firstbyte.ru) | Хостинг и хранение данных | договор хостинга | все данные, размещённые в ИСПД |
| ООО «Яндекс» (Яндекс.Метрика) | Веб-аналитика, улучшение интерфейса | согласие субъекта (cookie-баннер) | online-ID, IP-адрес, информация о браузере |
4.4. Порядок хранения ПД:
4.4.1. ПД, обрабатываемые автоматизированным способом, получаются, проходят дальнейшую обработку и передаются на хранение в электронном виде;
4.4.2. ПД, обрабатываемые с использованием средств автоматизации в разных целях, хранятся в разных папках;
4.4.3. не допускается хранение и размещение документов, содержащих ПД, в открытых электронных каталогах, в том числе в файлообменниках;
4.4.4. ПД, обрабатываемые смешанным способом, хранятся в бумажном виде в специальном сейфе, а в электронном виде – с учетом положений п.п. 4.4.2, 4.4.3 Политики.
4.5. Субъект может в любой момент отозвать свое согласие на обработку ПД, направив Оператору уведомление на адрес электронной почты support@kinostore.ru.
4.6. Уничтожение ПД:
4.6.1. ПД на электронных носителях уничтожаются путем стирания или форматирования носителя;
4.6.2. ПД на бумажных носителях уничтожаются путем измельчения документов;
4.6.3. факт уничтожения ПД подтверждается документально актом об уничтожении носителей.
4.7. Оператор передаёт ПД третьим лицам, указанным в таблице выше, в объёме, необходимом для исполнения Договора.
5. Обработка персональной информации при помощи файлов cookie
5.1. Файлы cookie, передаваемые Сайтом оборудованию Пользователя и оборудованием Пользователя Сайту, могут использоваться Оператором для предоставления Пользователю персонализированных сервисов, для таргетирования рекламы, которая показывается Пользователю, в статистических и исследовательских целях, а также для улучшения Сайта.
5.2. Пользователь осознает, что оборудование и программное обеспечение, используемые им для посещения сайтов в сети Интернет могут обладать функцией запрещения операций с файлами cookie (для любых или определенных сайтов), а также функцией удаления ранее полученных файлов cookie.
5.3. В случае размещения на Сайте счетчиков, в том числе Яндекс.Метрика, они могут использоваться для анализа файлов cookie Пользователя, для сбора и обработки статистической информации об использовании Сайта, а также для обеспечения работоспособности Сайта в целом или их отдельных функций в частности. Технические параметры работы счетчиков определяются Сайтом и могут изменяться без предварительного уведомления Пользователя.
5.4. Подтверждая свое ознакомление с Политикой, Пользователь и (или) Субъект ПД подтверждает свое согласие на обмен файлами cookie между оборудованием Пользователя (Субъекта ПД) и Сайтом.
6. Защита персональных данных
6.1. В соответствии с требованиями законодательства РФ Оператором создана система защиты ПД (далее – СЗПД), состоящая из подсистем правовой, организационной и технической защиты.
6.2. Подсистема правовой защиты представляет собой комплекс правовых и нормативных документов, обеспечивающих создание и функционирование СЗПД.
6.3. Подсистема организационной защиты включает в себя организацию структуры управления СЗПД, разрешительной системы, защиты информации при работе со сторонними лицами.
6.4. Подсистема технической защиты включает в себя комплекс физических, технических, программных, программно-аппаратных средств, обеспечивающих защиту ПД.
6.5. Основными мерами защиты ПД, используемыми Оператором, являются:
6.5.1. определение актуальных угроз безопасности ПД при их обработке в ИСПД и разработка мер и мероприятий по защите ПД;
6.5.2. разработка политики в отношении обработки ПД;
6.5.3. установление правил доступа к ПД, обрабатываемым в ИСПД, а также обеспечение регистрации и учета всех действий, совершаемых с ПД в ИСПД;
6.5.4. соблюдение условий, обеспечивающих сохранность ПД и исключающих несанкционированный к ним доступ;
6.5.5. обнаружение фактов несанкционированного доступа к ПД и принятие мер;
6.5.6. восстановление ПД, модифицированных или уничтоженных вследствие несанкционированного доступа к ним.
6.6. Порядок реагирования на инциденты безопасности ПД
6.6.1. Обнаружение инцидента
Ответственный за ПД получает автоматическое оповещение SIEM/IDS или сообщение сотрудника.
Фиксируется время, канал и краткое описание события в «Журнале инцидентов».
6.6.2. Классификация
Устанавливается категория ПД, объём утёкших данных, затронуто ли ≥ 100 000 записей.
Определяется уровень критичности (Низкий / Средний / Высокий).
6.6.3. Локализация и устранение
Немедленное блокирование скомпрометированных учётных записей или узлов.
Установка обновлений/патчей, смена паролей, ротация ключей API.
6.6.4. Уведомление Роскомнадзора и субъектов ПД
При критичности «Средний» или «Высокий» — уведомление РКН в течение 24 часов (ст. 22¹ 152-ФЗ).
Сообщение включает: описание инцидента, объём и категории ПД, принятые меры.
При необходимости пользователям рассылается e-mail-уведомление.
6.6.5. Расследование и отчёт
В течение 72 часов формируется внутренний отчёт с корневыми причинами и планом предотвращения повторения.
Отчёт хранится 5 лет.
6.6.6. Пост-инцидент-ревью
Обновляются регламенты, правила доступа, политики паролей.
Проводится внеплановый инструктаж сотрудников.
6.7. Ответственный за организацию обработки ПД
Фамилия Имя Отчество: Сидоров Дмитрий Анатольевич
E-mail для обращений: order@kinostore.ru
Телефон: 8 499 500-96-27
Ответственный обеспечивает:
• соблюдение Политики и актов РФ;
• проведение внутренних проверок;
• взаимодействие с Роскомнадзором и субъектами ПД.
7. Трансграничная оговорка
7.1. Оператор не осуществляет трансграничную передачу ПД. Адресом хранения ПД является: г. Москва, ул. Новоостаповская, д. 6Б.
8. Основные права Субъекта ПД и обязанности Оператора
8.1. Субъект имеет право на доступ к его ПД и в том числе следующим сведениям:
8.1.1. подтверждение факта обработки ПД Оператором;
8.1.2. правовые основания и цели обработки ПД;
8.1.3. цели и применяемые Оператором способы обработки ПД;
8.1.4. наименование и реквизиты Оператора;
8.1.5. сроки обработки ПД, в том числе сроки их хранения;
8.1.6. порядок осуществления Субъектом ПД прав, предусмотренных Законом о персональных данных.
8.2. Субъект ПД имеет право на обращение к Оператору и направление ему запросов, а также на обжалование действий или бездействия Оператора.
8.3. Оператор обязан:
8.3.1. опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки ПД, к сведениям о реализуемых требованиях к защите ПД;
8.3.2. принимать необходимые правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПД, а также от иных неправомерных действий в отношении ПД;
8.3.3. давать ответы на запросы и обращения Субъектов ПД, их представителей и уполномоченного органа по защите прав Субъектов ПД.