в отношении обработки персональных данных на интернет-сайте

1. Общие положения

1.1. Политика обработки персональных данных (далее – Политика) определяет цели, порядок и условия обработки персональных данных, меры по их защите, а также процедуры выявления и предотвращения нарушений законодательства РФ в области персональных данных в Открытой акционерное общество «Алкон», ИНН 5321028769, ОГРН 1025300782517, адрес местонахождения: 173002, г. Великий Новгород, ул. Германа, д.2 (далее – Оператор).

1.2. Политика разработана в соответствии с:

• Федеральным законом от 27.07.2006 152-ФЗ «О персональных данных» (далее – ФЗ-152);
• Постановлением Правительства РФ от 01.11.2012 № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных»;
• Приказом ФСТЭК России от 18.02.2013 № 21 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»;
• иными нормативными правовыми актами РФ.

1.3. Политика является общедоступным документом и размещается в свободном доступе в информационно–телекоммуникационной сети «Интернет» по адресу https://novgorodsky.com/policy/ (далее – Сайт) и в письменном виде на бумажном носителе по адресу, указанному в п.1.1 настоящей Политики. Оператор вправе вносить изменения в Политику путем размещения новой редакции на Сайте.

1.4. Настоящая Политика устанавливает основные условия обработки персональных данных. Детальные процедуры и технические регламенты, необходимые для реализации требований законодательства РФ, содержатся во внутренних документах Оператора.

1.5. Основные понятия, используемые в Политике:
Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу – субъекту персональных данных (далее также ПДн).

Субъект персональных данных – это физическое лицо, которое прямо или косвенно определено или определяемо с помощью ПДн (далее также Субъект).

Автоматизированная обработка ПДн – обработка ПДн с помощью средств вычислительной техники.

Блокирование ПДн – временное прекращение обработки ПДн (за исключением случаев, если обработка необходима для уточнения ПДн).

Информационная система ПДн – совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.

Обезличивание ПДн – действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность ПДн конкретному Субъекту.

Обработка персональных данных – любое действие (операция) или совокупность действий (операций) с ПДн, совершаемых с использованием средств автоматизации или без их использования. Обработка ПДн включает в себя в том числе: сбор; запись; систематизацию; накопление; хранение; уточнение (обновление, изменение); извлечение; использование; передачу (распространение, предоставление, доступ); обезличивание; блокирование; удаление; уничтожение.

Оператор персональных данных – Оператор самостоятельно или совместно с другими лицами организующее и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн, подлежащих обработке, действия (операции), совершаемые с ПДн.

Предоставление ПДн – действия, направленные на раскрытие ПДн определенному лицу или определенному кругу лиц.

Распространение ПДн – действия, направленные на раскрытие ПДн неопределенному кругу лиц.

Уничтожение ПДн – действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн.

2. Принципы обработки персональных данных

2.1. Обработка ПДн осуществляется Оператором на основе принципов, предусмотренных статьей 5 ФЗ-152, в том числе:

• законности и справедливой основы;
• ограничения обработки достижением конкретных, заранее определенных и законных целей;
• соответствия содержания и объема обрабатываемых ПДн заявленным целям (недопущение избыточности);
• обеспечения точности, достаточности и актуальности ПДн;
• хранения ПДн в форме, позволяющей определить Субъекта, не дольше, чем этого требуют цели обработки, если срок не установлен федеральным законом или договором.

3. Цели и основания обработки персональных данных

3.1. Оператором могут обрабатываться ПДн исключительно в целях, для которых они были собраны или получены.

3.2. Обработка Оператором ПДн осуществляется в целях:

• для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
• регулирование трудовых отношений с работниками Оператора в рамках заключения, исполнения и прекращения трудовых договоров, в том числе ведение кадрового, бухгалтерского учета и осуществление расчёта и выплаты заработной платы:
  • o исчисление и уплата налога на доходы физических лиц (НДФЛ) и страховых взносов с выплат в пользу работников;
  • o предоставление персонифицированных сведений о работниках в Социальный фонд России (СФР) для целей обязательного пенсионного страхования;
  • o заполнение и передачу форм статистической отчетности в Федеральную службу государственной статистики (Росстат) и иных форм обязательной отчетности в государственные органы;
  • o предоставление работникам и членам их семей дополнительных гарантий, компенсаций и льгот (включая добровольное медицинское страхование, оплату путевок, материальную помощь);
  • o контроль количества и качества выполняемой работы;
  • o организация внутрикорпоративного взаимодействия между работниками (ведение служебной переписки, предоставление доступа к справочным и информационным материалам);
  • o ведение воинского учёта работников и предоставление сведений о них в военкомат.
• заключение и исполнение гражданско-правовых договоров с контрагентами;
• привлечение и отбор кандидатов на вакантные должности (включая анализ резюме, проведение собеседований и тестирований);
• обеспечение транспортной безопасности;
• обеспечение безопасности Оператора, работников и посетителей, в том числе посредством организации пропускного режима, видеонаблюдения на территории и в здании (-ях) Оператора;
• проверка сохранности вверенного имущества, проведение служебного расследования по факту его недостачи или порчи;
• обеспечение сохранности коммерческой тайны и конфиденциальной информации, включая контроль доступа, использование технических средств защиты конфиденциальной информации и мер внутриобъектового режима;
• предотвращение мошенничества и противоправных действий со стороны работников или третьих лиц;
• защита прав Оператора в досудебном и судебном порядке;
• взаимодействия с пользователями Сайта:
  o приём и обработка обращений, заявок, консультационных запросов, а также информирование пользователей о продукции, услугах и деятельности Оператора;
  o оформление заказов на продукцию с последующим самовывозом в торговой точке (дистанционная продажа алкогольной продукции не осуществляется);
  o анализ посещаемости Сайта и сбор статистики для улучшения его работы с использованием сервиса «Яндекс.Метрика» (обработка технических данных, включая cookie, IP-адрес, сведения о браузере и действиях на Сайте).

3.3. ПДн могут обрабатываться Оператором также в иных целях без получения отдельного согласия Субъекта при наличии оснований, предусмотренных пунктами 2-11 части 1 статьи 6 ФЗ-152 (для выполнения обязанностей, возложенных законом, регулирования трудовых отношений, реализации законных интересов Оператора и т.п.). Для целей, требующих согласия Субъекта ПДн, правовым основанием является пункт 1 части 1 статьи 6 ФЗ-152.

3.4. В Положении об обработке и защите ПДн (далее – Положение), являющейся неотъемлемой частью настоящей Политики, для каждой цели обработки детально определены:

• категории Субъектов, чьи ПДн обрабатываются Оператором;
• перечень и категории обрабатываемых ПДн;
• способы обработки ПДн;
• сроки обработки и хранения ПДн;
• порядок уничтожения ПДн.

4. Категории Субъектов и персональных данных с их перечнем

4.1. Оператором обрабатываются ПДн следующих Субъектов:

• лица, состоящие/состоявшие в трудовых отношениях с Оператором;
• иные категории субъектов персональных данных, привлечение которых необходимо для реализации целей обработки, указанных в разделе 3 настоящей Политики, при условии, что обработка их ПДн осуществляется на законных основаниях и с соблюдением требований ФЗ-152.

4.2. Категории и перечень ПДн
Оператор обрабатывает следующие категории персональных данных: иные ПДн (ФИО, дата рождения, паспортные данные, адрес, контактные данные, ИНН, СНИЛС, сведения об образовании, о трудовой деятельности, о доходах, данные, собираемые метрическими программами и т.п.).

4.3. Детализация по категориям Субъектов и конкретным перечням с категориями ПДн для каждой цели обработки содержатся в Положении.

5. Порядок и условия обработки персональных данных

5.1. Оператор совершает с ПДн любые действия (операции), предусмотренные определением обработки ПДн в пункте 1.5 настоящей Политики.

5.2. Оператор вправе в указанных целях вносить ПДн в информационные системы, хранить и обрабатывать их как с использованием средств автоматизации (автоматизированная обработка), так и без их использования (неавтоматизированная обработка, в том числе на бумажных носителях), любыми не противоречащими законодательству способами.

5.3. Оператору запрещено принятие решений, порождающих юридические последствия в отношении Субъекта или иным образом затрагивающих его права и законные интересы, на основании исключительно автоматизированной обработки ПДн (без участия человека), за исключением случаев, прямо предусмотренных федеральными законами.

5.4. Оператор не размещает ПДн в общедоступных источниках без согласия Субъекта. Обработка ПДн, разрешённых для распространения, осуществляется только на основании отдельного согласия, оформленного по ст. 10.1 ФЗ-152. Распространение без такого согласия запрещено.

5.5. Согласие на обработку ПДн оформляется отдельным документом и не может являться частью договора, оферты, пользовательского соглашения или иного документа, если иное не предусмотрено федеральным законом. Форма такого согласия указана в приложении к Положению.

5.6. При сборе ПДн Оператор обеспечивает сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), блокирование, удаление, уничтожение ПДн Субъектов с использованием баз данных, находящихся на территории Российской Федерации.

5.7. Оператор не обрабатывает ПДн, касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, интимной жизни Субъектов.

5.8. Обработка данных о состоянии здоровья осуществляется в случаях, прямо предусмотренных частью 2 статьи 10 ФЗ-152 (трудовые отношения, социальная поддержка, ДМС, защита жизни и здоровья).

5.9. Обработка биометрических ПДн осуществляется Оператором только при наличии письменного согласия Субъекта в соответствии со ст. 11 ФЗ-152.

6. Права субъектов персональных данных, контакты по вопросам обработки персональных данных

6.1. Субъект персональных данных имеет право на:

•  получение информации, касающейся обработки его персональных данных (ст. 14 ФЗ-152);
• уточнение, блокирование или уничтожение своих персональных данных, если они являются неполными, устаревшими, неточными или получены незаконно;
• отзыв согласия на обработку персональных данных;
• обжалование действий или бездействия Оператора;
• право не подвергаться принятию решений на основании исключительно автоматизированной обработки персональных данных, порождающих юридические последствия для субъекта.

6.2. Для реализации своих прав субъект может обратиться к Оператору:

по телефону: +7 (911) 600-02-71;
по электронной почте: N.Fedorova@novgorodsky.com;
направив письменное обращение по адресу, указанному в п.1.1 настоящей Политики.

7. Меры по обеспечению безопасности персональных данных

7.1. Оператор обязуется принимать необходимые и достаточные правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

7.2. Для выполнения этой обязанности Оператор:

• обеспечивает назначение лица, ответственного за организацию обработки персональных данных;
• издает локальные акты по вопросам обработки и защиты персональных данных;
• применяет организационные и технические меры для защиты информации в информационных системах;
• осуществляет внутренний контроль за соответствием обработки персональных данных требованиям законодательства;
• проводит оценку возможного вреда, который может быть причинен субъектам персональных данных;
• обеспечивает ознакомление работников, непосредственно осуществляющих обработку данных, с положениями законодательства и локальными актами Оператора.

7.3. Действие настоящей Политики не отменяет обязанности Оператора руководствоваться в своей деятельности иными внутренними документами (в том числе Положением), которые детально определяют меры и обеспечивают выполнение требований законодательства о защите персональных данных.

8. Срок обработки и порядок уничтожения персональных данных

8.1. Установление сроков обработки ПДн

Сроки обработки и хранения ПДн определяются для каждой цели обработки в Положении в соответствии с требованиями законодательства РФ. При их установке учитываются:

• сроки, установленные федеральными законами;
• срок действия договора с Субъектом;
• срок действия согласия Субъекта (если обработка основана на согласии);
• срок, необходимый для достижения конкретной цели обработки.

8.2. Основания и сроки уничтожения персональных данных

Обработка ПДн прекращается, а данные подлежат уничтожению в следующих случаях:

• достижение цели обработки;
• отзыв согласия Субъекта;
• утраты необходимости в достижении цели;
• выявление неправомерной обработки;
• получение от Субъекта сведений, подтверждающих, что его данные являются избыточными (не необходимыми для заявленной цели) либо полученными с нарушением закона.
• Уничтожение персональных данных осуществляется в сроки, не превышающие:
  • 30 дней – после достижения цели обработки или отзыва согласия субъекта. Иной срок может быть установлен федеральным законом, договором с субъектом или соглашением с ним;
  • 10 рабочих дней – при выявлении неправомерной обработки;
  • 7 рабочих дней – при получении от субъекта сведений об избыточности или незаконности получения данных.

8.3. Конкретный порядок и сроки уничтожения для каждой цели обработки установлены в Положении.

9. Передача персональных данных третьим лицам

9.1. ПДн могут передаваться третьим лицам:

• на основании федерального закона (в том числе государственным органам, органам местного самоуправления, государственным внебюджетным фондам, военным комиссариатам, иным организациям) – в случаях, порядке и объёме, установленных такими законами;
• осуществляющим обработку ПДн по поручению Оператора;
• иным лицам – только при условии получения отдельного согласия Субъекта.

Если Оператор поручает обработку персональных данных третьему лицу, заключается договор поручения, в котором определяются перечень персональных данных и действий с ними, цели обработки, требования по обеспечению конфиденциальности и безопасности в соответствии со статьей 19 ФЗ-152, а также иные обязательные условия, установленные законодательством РФ. Оператор не заключает с ООО «ЯНДЕКС» отдельного договора поручения обработки персональных данных. ООО «ЯНДЕКС» осуществляет обработку полученных данных самостоятельно в качестве самостоятельного оператора персональных данных в целях, предусмотренных своей Политикой конфиденциальности. Использование сервиса «Яндекс.Метрика» регулируется публичной офертой, размещенной на сайте Яндекса. Оператор не несёт ответственности за действия ООО «ЯНДЕКС» по обработке персональных данных после их передачи.

9.2. Трансграничная передача персональных данных не осуществляется. Обработка персональных данных Пользователей осуществляется с использованием программного обеспечения, размещенного на серверах, находящихся на территории Российской Федерации. Передача персональных данных за пределы территории РФ не осуществляется.

9.3. Оператор передает данные (IP-адрес, сведения о браузере и операционной системе, данные о посещенных страницах и действиях на них, идентификатор cookie Яндекс.Метрики) сервису веб-аналитики «Яндекс.Метрика», предоставляемому ООО «ЯНДЕКС» (119021, г. Москва, ул. Льва Толстого, д. 16). Цель передачи – анализ посещаемости Сайта и улучшение его работы. Перечень действий, совершаемых ООО «ЯНДЕКС» с ПДн, включает действия, перечисленные в определении обработки персональных данных (пункт 1.5 настоящей Политики). Субъект уведомлен, что ООО «ЯНДЕКС» обрабатывает полученные данные в соответствии с собственной Политикой конфиденциальности и Условиями использования сервиса «Яндекс.Метрика».

10. Обеспечение обработки cookies–файлов

10.1. Общие положения

Cookies (файлы cookie) – это небольшие фрагменты данных, сохраняемые на устройстве Субъекта при посещении Сайта. Cookies могут содержать персональные данные Субъекта (IP-адрес, сведения о браузере, языке, регионе, выбранных настройках отображения, а также информация о поведении на Сайте).

10.2. Типы и цели обработки cookies

На Сайте используются следующие типы cookies:

• Технические (обязательные) – необходимы для корректной работы Сайта, обеспечения безопасности, загрузки страниц, передачи данных.
• Функциональные – сохраняют выбор Субъекта (например, регион, язык, отображение элементов интерфейса), улучшая взаимодействие с Сайтом.
• Аналитические (статистические) – собирают и анализируют информацию о посещаемости, поведении Субъектов на Сайте (просмотренные страницы, время на сайте, источники переходов) для улучшения работы Сайта.

10.3. Правовое основание обработки

Технические cookies обрабатываются на основании п. 5 ч. 1 ст. 6 № ФЗ-152 (исполнение договора). Функциональные и аналитические cookies обрабатываются на основании п. 1 ч. 1 ст. 6 № 152-ФЗ (согласие Субъекта). Согласие на обработку функциональных и аналитических cookies запрашивается с помощью всплывающего баннера (cookie-баннера) и считается полученным после совершения активного действия – нажатие в баннере на кнопку «Принять все» или выборочное сохранение настроек с согласием на обработку функциональных и/или аналитических cookies. Пассивные действия согласием не являются.

10.4. Субъект в любой момент может отозвать согласие на обработку функциональных и аналитических cookies через настройки cookie-баннера или настройки браузера. Согласие действует 1 год либо до момента отзыва.

10.5. Сроки обработки и хранения

• Технические cookies действуют в течение сессии (до закрытия браузера).
• Функциональные и аналитические cookies хранятся не более 12 месяцев либо до удаления Субъектом через настройки браузера или отзыва согласия.

10.6. Порядок уничтожения

Cookies уничтожаются автоматически по истечении срока хранения либо при удалении Субъектом через настройки браузера. В части, не противоречащей настоящему пункту, применяются положения раздела 8 настоящей Политики, а также Положение.