Политика конфиденциальности персональных данных

Политика конфиденциальности

Настоящая Политика конфиденциальности и обработки персональных данных (далее – «Политика конфиденциальности») разработана на основании Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» и действует в отношении всей информации, которая может быть получена о Пользователе во время и/или в связи с использованием им сайта «Авторское право России, Copyright.ru» (далее – «Сайт»), в том числе в отношении получаемых персональных данных Пользователя.

В настоящей Политике конфиденциальности используются следующие термины:

Администрация Сайта – уполномоченные сотрудники, которые организуют и (или) осуществляет обработку персональных данных, а также определяют цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Персональные данные – любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Обработка персональных данных – любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

Конфиденциальность персональных данных – обязательное для соблюдения Администрацией Сайта требование не допускать их распространения без согласия субъекта персональных данных или наличия иного законного основания.

Пользователь Сайта (далее – Пользователь, Пользователи) – лицо, имеющее доступ к Сайту посредством сети Интернет и использующее Сайт или сервисы Сайта.

1. Основные положения Политики конфиденциальности

1.1. Настоящая Политика является официальным документом Администратора Сайта и определяет порядок обработки и защиты информации о физических и юридических лицах, использующих Сайт.

1.2. Действующая редакция Политики конфиденциальности, являющейся публичным документом, разработана Администрацией Сайта и доступна любому пользователю сети Интернет. Администрация Сайта вправе вносить изменения в настоящую Политику, уведомляя об этом пользователей путем размещения новой редакции Политики конфиденциальности на Сайте.

1.3. Целью настоящей Политики конфиденциальности является обеспечение надлежащей защиты информации о Пользователях, в том числе их персональных данных, от несанкционированного доступа и разглашения.

1.4. Отношения, связанные со сбором, хранением, распространением и защитой информации о Пользователях, регулируются настоящей Политикой и действующим законодательством Российской Федерации.

1.5. Использование Пользователем Сайта или сервисов Сайта означает согласие с настоящей Политикой конфиденциальности и условиями обработки персональных данных Пользователя.

1.6. В случае несогласия с условиями Политики конфиденциальности Пользователь должен прекратить использование Сайта и сервисов Сайта.

1.7. Персональная и контактная информация Пользователя Сайта не передается третьим лицам без его согласия, за исключением случаев, установленных законодательством Российской Федерации.

1.8. Пользователь самостоятельно определяет объем раскрываемой персональной информации.

1.9. Администратор Сайта не проверяет достоверность получаемой (собираемой) информации о пользователях.

2. Собираемая информация

2.1. Собираемой информацией является персональная информация Пользователя, которую он сознательно согласился раскрыть, став пользователем Сайта.

2.2. Персональные данные, разрешённые к обработке в рамках настоящей Политики конфиденциальности: фамилия, имя, отчество, специальность, место работы, группа, должность, адрес электронной почты, а также любая иная информация, относящаяся к личности субъекта персональных данных, доступная, либо известная в любой конкретный момент времени Администрации Сайта в качестве Оператора персональных данных.

2.3. Техническая (обезличенная) информация автоматически собирается программным обеспечением Сайта во время его посещения.

2.4. Персональная информация, предоставляемая Пользователем на Сайте, проверке на достоверность не подвергается.

3. Использование полученной информации

3.1. Информация, предоставляемая Пользователем на Сайте, а также техническая (обезличенная) информация используются для:

• улучшения деятельности Сайта;
• предоставления Пользователю доступа к персонализированным ресурсам Сайта;
• идентификации Пользователя, зарегистрированного на Сайте;
• участия в мероприятиях, организуемых Сайтом;
• установления с Пользователем обратной связи, включая направление уведомлений, запросов, касающихся использования Сайта;
• оказания услуг, обработки запросов и заявок от Пользователя;
• предоставления Пользователю эффективной клиентской и технической поддержки при возникновении проблем, связанных с использованием Сайта.

3.2. Вся контактная информация, которую Пользователь предоставляет на Сайте, раскрывается только с его согласия, за исключением случаев, предусмотренных законодательством Российской Федерации и настоящей Политикой конфиденциальности.

4. Способы и сроки обработки персональной информации

4.1. Обработка персональных данных Пользователя осуществляется без ограничения срока, любым законным способом, в том числе в информационных системах персональных данных с использованием средств автоматизации или без использования таких средств.

4.2. Персональные данные Пользователя могут быть переданы уполномоченным органам государственной власти Российской Федерации только по основаниям и в порядке, установленным законодательством Российской Федерации.

4.3. При утрате или разглашении персональных данных Администрация Сайта информирует Пользователя об утрате или разглашении персональных данных.

4.4. Администрация Сайта принимает необходимые организационные и технические меры для защиты персональной информации Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий третьих лиц.

5. Пользователь вправе:

5.1. На основании запроса получать от Администратора Сайта информацию, касающуюся обработки его персональных данных.

6. Администрация Сайта обязана:

6.1. Использовать полученную информацию исключительно для целей, указанных в настоящей Политике конфиденциальности.

6.2. Обеспечить сохранение конфиденциальной информации в тайне, не разглашать без предварительного письменного разрешения Пользователя, а также не осуществлять продажу, обмен, опубликование, либо разглашение иными возможными способами переданных персональных данных Пользователя, за исключением случаев, установленных законодательством Российской Федерации и настоящей Политикой конфиденциальности.

6.3. Принимать меры предосторожности для защиты конфиденциальности персональных данных Пользователя в соответствии с порядком, обычно используемым для защиты такого рода информации в существующем деловом обороте.

6.4. Осуществить блокирование персональных данных, относящихся к соответствующему Пользователю, на основании обращения или запроса Пользователя или его законного представителя либо уполномоченного органа по защите прав субъектов персональных данных на период проверки, в случае выявления недостоверных персональных данных или совершения неправомерных действий.

7. Ссылки на другие сайты

7.1. На Сайте имеются ссылки, позволяющие Пользователю перейти на другие сайты. Администрация Сайта не несет ответственности за сведения, публикуемые на других сайтах, и предоставляет ссылки на них только в целях обеспечения удобства для Пользователей.

8. Заключительные положения

8.1. Администрация Сайта вправе вносить изменения в настоящую Политику конфиденциальности без согласия Пользователей.

8.2. Новая Политика конфиденциальности вступает в силу с момента ее размещения на Сайте, если иное не предусмотрено новой редакцией Политики конфиденциальности.

9. Контакты и вопросы по персональным данным

9.1. Все предложения, вопросы и иные обращения по поводу настоящей Политики конфиденциальности и использования своих персональных данных Пользователи могут направлять:

Кому нужна политика конфиденциальности на сайте и как ее разработать

Ольга Кочкина Редакция «Текстерры»

Поправки к закону «О персональных данных», увеличившие штрафы за отдельные нарушения до 75 тыс. руб., взбудоражили интернет-сообщество. Хотя сам нормативный акт существует уже 12 лет, приводить свои ресурсы в соответствие с его требованиями владельцы сайтов начали только год назад — вместе со штрафами возросло и количество проверок.

Мы надеемся, что за год большинство вебмастеров уже внедрили все необходимые изменения и могут спать спокойно. Но новые ресурсы появляются каждый день, а значит вопрос остается актуальным. Разберемся, кому без политики конфиденциальности не обойтись и как реализовать ее на своем ресурсе.

Кому нужна политика конфиденциальности на сайте

Закон обязывает публиковать политику конфиденциальности только операторов персональных данных. Чтобы понять, нужен ли такой документ на вашем сайте, сначала надо разобраться, что это за данные и кто такие операторы.

Первому понятию 152-ФЗ дает такое определение:

Персональные данные — любая информация, относящаяся прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных).

Точного перечня в законе нет, но исходя из определения, можно сделать вывод, что персональными можно считать все данные, которые относятся к конкретному человеку и позволяют его идентифицировать. Также в тексте встречаются понятия общие, специальные и биометрические данные.

С операторами все проще — это любой человек, компания или государственный орган, который собирает, хранит, обрабатывает и совершает другие действия с персональными данными. Владельца интернет-ресурса можно отнести к операторам, если на сайте есть формы заказа, комментариев, регистрации и обратной связи, в которые человек вводит имя, фамилию, электронный адрес, номер телефона и т. д.

Если при отправке комментария от пользователя требуют только имя или никнейм, политика конфиденциальности не нужна, так как по такой информации идентифицировать человека невозможно.

Как составить текст политики конфиденциальности

Утвержденной законом формы нет. Но есть перечень сведений, которые обязательно прописывать в документе.

• На каком основании и с какой целью вы собираете персональные данные.
• Ваши наименование, контактные данные и адрес.
• Сведения о том, кто обрабатывает данные, если этим занимается другая компания, а также о третьих лицах, у которых есть доступ к ним.
• Какие данные обрабатываете и из каких источников получаете, включая файлы cookie.
• Сроки обработки и хранения персональных данных.
• Каким образом вы соблюдаете права субъекта, предусмотренные законом «О персональных данных».
• Информация о том, что вы передаете данные за пределы России.

Всю эту информацию можно изложить в свободной форме. Главное — чтобы документ содержал все сведения, которые требует закон, а также понятно разъяснял пользователю, что происходит с его персональными данными, как вы можете их использовать и что делаете, чтобы защитить его право на неприкосновенность частной жизни и личную тайну.

Копировать политику конфиденциальности с других сайтов не стоит. Как минимум, нужно адаптировать текст под свои условия обработки данных.

Называться на сайте документ может по-разному: политика в отношении персональных данных, политика конфиденциальности, пользовательское соглашение и т. д. Сути это не меняет и нарушением не считается.

Как оформить документ и разместить на сайте

Единственное требование законодательства в этом плане, чтобы субъекты персональных данных имели свободный и неограниченный доступ к политике конфиденциальности. В остальном владелец сайт волен сам решать, как лучше реализовать ее на сайте.

Обычно документ публикуют на отдельной странице и обеспечивают доступ в один клик с любой другой. Ссылки на политику конфиденциальности стоит разместить рядом с формами, где пользователь дает согласие на обработку. Также сноску на документы зачастую размещают в подвале или верхнем меню сайта.

Флажок «Согласие на обработку персональных данных» рядом с формами тоже обязателен. Согласно закону, собирать и обрабатывать информацию о пользователях можно только с их согласия, за исключением нескольких случаев, которые к сайтам не относятся. Более того, в случае проверки владелец ресурса должен иметь возможность доказать, что согласие было.

Соблюсти это требование на конструкторах и популярных CMS несложно — большинство разработчиков быстро среагировали и добавили такую возможность в свои продукты.

Для WordPress появились новые плагины:

• Бесплатный — «Политика конфиденциальности для сайта. Согласие под формами Contact-Form 7».
• Платный — Privacy Policy, цена вопроса: 700-2500 руб., в зависимости от приоритетности техподдержки и количества сайтов.

Оба плагина соответствуют требованиям 152-ФЗ и схожи по функционалу:

• автоматически добавляют галочки к формам комментариев и тем, что созданы с помощью плагина «Контакт Форм 7»;
• позволяют создать и настроить страницу с политикой конфиденциальности;
• показывают оповещение об использовании cookies;
• настроить текст для флажка согласия на обработку;
• задать установку этой галочки по умолчанию, хотя делать этого все же не стоит — пользователь должен дать согласие, а значит отметить чекбокс сам;
• запретить отправку формы без нее.

Есть еще старые плагины, в том числе англоязычные, с помощью которых добавляются флажки для подписки на рассылку, принятия пользовательского соглашения и т. д. Однако новые продукты разрабатывались специально для соблюдения 152-ФЗ и настроить их под эти цели будет проще.

Напоследок еще несколько требований, о которых не стоит забывать

• Нельзя собирать больше данных, чем нужно для достижения целей, прописанных в политике конфиденциальности.
• Нельзя хранить и обрабатывать данные с использованием баз данных, размещенных на иностранных серверах.
• Прежде чем начать собирать персональные данные, об этом нужно уведомить Роскомнадзор в бумажной или электронной форме. Перечень сведений есть в ст. 22 152-ФЗ.
• Чтобы делегировать обработку персональных данных другим юридическим или физическим лицам, нужно заключить договор.
• Оператор персональных данных обязан обеспечить их безопасность с помощью организационных, правовых и технических мер — инструктировать сотрудников, разработать локальные акты, обеспечить надежную защиту баз данных, исключающую утечку информации и доступ третьих лиц.

В Google и «Яндексе», соцсетях, рассылках, на видеоплатформах, у блогеров

Политика конфиденциальности: кому она нужна и как подготовить самостоятельно

Когда вы запускаете свой сайт, возникает много вопросов, в том числе: а есть ли какие-то обязательные требования со стороны закона?
Наш ответ «да», и он максимально очевиден. Сегодня мы поговорим об одном из таких обязательных требований, как Политика конфиденциальности. Разговоры о политике – это, конечно, не очень благодарное занятие, но, поверьте, об этой Политике вам стоит знать!

Политика конфиденциальности – по сути документ, при помощи которого вы объясняете вашим пользователям то, как вы обрабатываете его данные. Часто встречается и другое (официальное) название данного документа – Политика обработки персональных данных.

Если конкретнее, то это документ, регулирующий обработку персональных данных пользователей и размещаемый на сайте, который является ничем иным, как правилами игры, устанавливаемыми владельцем сайта в отношениях с пользователями. Цель фиксации и размещения таких
правил — снизить риски из законодательства о персональных данных.

Пользователь должен согласиться с вашей политикой конфиденциальности, совершив определенное действие на сайте, как правило, проставляя галочку, например, при оформлении заказа.

Политика конфиденциальности нужна любому оператору персональных данных.

Сложно? Тогда давайте по порядку.

Что такое персональные данные?
Этому понятие дает Федеральный закон «О персональных данных» 152-ФЗ:

Персональные данные — любая информация, относящаяся прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных). Грубо говоря, это все то, что может вас идентифицировать, любая информация, связанная с вами.

А операторы – это те субъекты, которые такие данные обрабатывают, это любой человек, компания или государственный орган, который собирает, хранит, обрабатывает и совершает действия с персональными данными. Владельцев интернет-ресурса можно отнести к операторам, если на сайте есть формы заказа, комментариев, регистрации и обратной связи, в которые человек вводит имя, фамилию, электронный адрес, номер телефона и все в таком духе.

Продаете через интернет цветы и просите от покупателя адрес доставки и телефон с его именем? Вы оператор!

На вашем сайте можно оплатить и заказать услуги вашего салона красоты? Вы тоже оператор!

Продаете обувь через свой интернет-магазин и пользователь оставляет данные для доставки? Поздравляем, и вы оператор!

Это единичные примеры. Политика конфиденциальности несомненно нужна практически всем, кто ведет бизнес через интернет. Ведь так или иначе, но пользователь оставляет свои данные для контакта с вами.

После подготовки Политики, ее необходимо разместить на сайте.

Закон опять же четко не регламентирует где и как должна быть размещена Политика конфиденциальности. Главное, чтобы Пользователь мог с ней ознакомиться и согласиться.

Мы рекомендуем размещать ее на отдельной сверстанной странице, добавляя ссылку на нее под всеми формами сбора данных на сайте. Пользователь вносит свои данные, например, для заказа, а над кнопкой «Заказать» видит ссылку на документ, рядом с которой проставляет согласие, например, галочку. Естественно, предварительно ознакомившись.

На самом деле, по вопросу создания такого документа стоит обратиться к юристам, специализирующимся на защите персональных данных.

Дело в том, что упустив одну маленькую деталь, можно создать себе и своему бизнесу проблем. Для Роскомнадзора важно не просто наличие такого документа на сайте, но и его содержание.

Конечно, Роскомнадзор позаботился и составил рекомендации по составлению такого документа. Но даже эти рекомендации сложны для восприятия человеком, не имеющим никакого отношения к юриспруденции.

Поэтому мы решили разобрать эти рекомендации специально для вас!

Утвержденной формы политики конфиденциальности не существует.
Но есть определенные требования к информации, которая обязательно должна быть включена в такой документ:

– На каком основании и с какой целью вы собираете персональные данные;

– Какие данные обрабатываете и из каких источников получаете, включая файлы cookie;

– Сведения о том, кто обрабатывает данные, если этим занимается другая компания, а также о третьих лицах, у которых есть доступ к ним;

– Сроки обработки и хранения персональных данных;

– Информация о том, что вы передаете данные за пределы России (если передаете, конечно);

– Каким образом вы соблюдаете права субъекта, предусмотренные законом «О персональных данных»;

– Ваши наименование, контактные данные и адрес.

Всю эту информацию можно изложить в свободной форме. Главная цель –документ должен содержать все сведения, которые требует закон, а также понятно показывал пользователю, что происходит с персональными данными и что вы делаете, чтобы защитить его право на неприкосновенность частной жизни и личную тайну.

Политика конфиденциальности и условия использования как обязательный атрибут IT продукта

Меня зовут Александр Явтушенко и уже 4 года я работаю в сфере IT права. Последнее время все чаще сайты и приложения, которые я сопровождаю по части правового обеспечения их деятельности, начинают задумываться или непосредственно внедрять различные правила и политики связанные, в первую очередь, с процедурами сбора, обработки и хранения персональных данных. В большинстве случаев это вызвано страшным словом GDPR (англ. General Data Protection Regulation) — нормативным актом Европейского Союза, который регламентирует любые действия, связанные со сбором, обработкой, хранением и последующим использованием полученных от граждан ЕС персональных данных.

Основной проблемой IT разработчиков, которые не хотят привлекать профильных юридических специалистов в сфере защиты Personal Data (далее — PD) и обеспечения правильного режима конфиденциальности является смешивание в одном документе (зачастую его “обзывают” условиями использования сайта или пользовательским соглашением) как норм регламентирующих поведение пользователя (различных групп пользователей) на сайте или в приложении, так и положений об обработке персональных данных.

Второй глобальной проблемой является тот факт, что у неспециалиста, как правило, отсутствует понимание того, что мало написать какие-то правила, важно идеально знать правовые нормы и правоприменительную практику (как со стороны контролирующих органов, так и судебную) страны регистрации сайта/приложения, а также нормы других стран, которые в определенных случаях могут также распространяться на вас (яркий пример — тот же GDPR в случае работы с данными граждан ЕС).

Это связано с тем, что в регулировании использования PD существует две зоны:

1. Императивная

Что бы вы не написали в правилах, если это противоречит требованиям национального регулятора или международному правилу, это не имеет никакой силы. Как известно, любые правила имеют изъяны и бреши, которые квалифицированный юрист сможет использовать для тонкого обхода тех или иных норм. При этом стоит признать, что существуют случаи, когда обойти закон не получится вовсе и разработку бэка (очень редко и фронта) нужно адаптировать под букву закона.

2. Диспозитивная

Хотя в последнее время ЕС, США и Канада все больше внимания уделяют ужесточению работы с персональными данными, до сих пор остается множество норм, которые не имеют строгого характера и предлагают или выбор нескольких вариантов поведения, или и вовсе предоставляют нам возможность прописать самостоятельные регламенты и алгоритмы сбора, обработки и хранения некоторых видов данных. Понимая четкие границы в которых можно “делать что угодно и ничего за это не будет, если мы описали это в пользовательском соглашении”, разработчик открывает перед собой возможности не только для тонкой настройки функционала своего приложения/сайта, но и избавляет себя от десятков или даже сотен исков во всех юрисдикциях мира, которые могут посыпаться от чересчур внимательных пользователей.

Политики и условия конфиденциальности (также известные как Условия использования или Условия обслуживания) не являются универсальными. Определение того, как клиенты будут взаимодействовать с вашим уникальным продуктом, а также как вы будете собирать, обрабатывать и хранить любые собранные данные, имеет решающее значение для защиты вашей компании. Попробуем детальнее разобрать виды и различия вышеупомянутых документов, как они регулируются в большинстве стран, а также почему даже самому маленькому IT проекту важно их иметь.

Политика конфиденциальности

Политика конфиденциальности объясняет, как ваша компания использует, обрабатывает, хранит и делится данными, предоставленными пользователями ее услуг и/или веб-сайта. Этот документ должен быть составлен квалифицированным юристом, потому что контролирующие органы (например. Федеральная торговая комиссия США) или суд (если против вас подан иск) могут принять меры против вас за «обман», если в документе есть неточные утверждения. Сегодня законодательство Украины, России, стран Европейского Союза и большинства штатов США требуют политики конфиденциальности, если вы собираете какие-либо персональные данные.

Условия обслуживания (также известные как «Условия использования»)

Если ваш бизнес управляет веб-сайтом, мобильным приложением или требует загрузки программного обеспечения, вам следует применять подготовленные юристом Условия использования. Условия использования — это договор (публичная оферта) между вами и пользователями вашего продукта. Важно учитывать также и то, где разместить Условия на вашем веб-сайте, чтобы убедиться, что он имеет обязательную юридическую силу. Довольно часто для этого посетителю нужно предпринять действие, выражающее его согласие с таким документом (например, нажать на кнопку «Я принимаю Условия»).

Эти документы устанавливают условия для пользователей вашего сайта, такие как кодекс поведения пользователей, отказ от гарантийных обязательств со стороны веб-сайта и отказ от ответственности за любые ссылки на сторонние сайты — среди прочего. Некоторые типичные положения могут включать:

Кодекс поведения пользователя

Это положение используется для определения ожиданий того, как клиенты могут использовать ваш продукт, а также вашего права на отзыв об их использовании вашего веб-сайта или приложения в ответ на указанные нарушения. На просторах стран СНГ применение такого кодекса не является общепринятым в IT проектах. В то же время, в странах с общей системой права (в основном США и большая часть Великобритании) детальная проработка этого раздела Условий является хорошим превентивным механизмом от большинства судебных исков.

Ограничение ответственности

Это положение освобождает компанию от ответственности за любой ущерб, возникший в результате использования их веб-сайта или продукта. Четкое установление исключений может иметь неоценимое значение в случае возникновения спора с клиентом. Существует, однако, ряд правовых норм, которые не позволяют отказаться от ответственности в определенных случаях, что требует создания “обходных путей” для защиты вашего проекта.

Порядок оплаты

Если это применимо, в ваших Условиях могут указываться принятые способы оплаты, комиссия, сроки, в течении которых ожидается платеж, и как ваша компания будет учитывать несвоевременный платеж или невыполнение платежа. Данный раздел зачастую используется в двух случаях:

1. Ваш проект является процессинговой системой или имеет ряд элементов такой системы, чем вызвана необходимость создания определенного перечня предостережений. В данном случае необходимо также прописывать и учитывать международные экономические санкции и введенные ограничения на банковские переводы (включая SWIFT платежи) в такие страны как Иран, Ирак, Северная Корея и некоторые другие.
2. Ваш проект не является процессинговой системой непосредственно, но для работы с ним используются несколько сторонних процессинговых систем одновременно. Например, для проведения платежа деньги клиента списываются одним оператором, после чего заходят на счет криптовалютной биржи, которая совершает операцию на своей стороне и снова передает платеж процессинговой системе. В таком случае, весь путь денежных средств клиента должен быть описан в соответствующем разделе ваших Условий, иначе регуляторы некоторых стран могут квалифицировать такие действия как мошенническую схему с использованием скрытых комиссий и конвертаций. Необходимо указывать фиксированные сумы платежей, а в случае плавающей величины — алгоритм или принципы ее формирования и вычисления.

Политика отмены (отказа или возврата)

Вы также можете указать положения, объясняющие, как клиент может прекратить свое взаимодействие с вашей компанией, а также любые соответствующие сборы или процедуры возврата. Сюда, как правило, включают условия отказа от рассылок, уведомлений (в том числе push-уведомлений для мобильных приложений), а также различные особенности, связанные с прекращением обслуживания клиента, который приобрел подписку на определенный срок, условия и порядок возврата средств и тому подобное. При разработке этого раздела юридически важно учитывать, потребляется ли ваш продукт/услуга непосредственно в момент ее использования или же результат использования сайта/приложения носит отложенный (пролонгированный) характер. Нередко именно здесь мы прописываем гарантированное GDPR`ом “право быть забытым”. В данном случае, хотя и невозможно отказать пользователю в удалении данных о нем, которыми мы располагаем, но возможность определить механизм и форму передачи пользователем такого волеизъявления остается на нашей стороне и неправильно прописанный порядок реализации такого права может иметь серьезные юридические последствия.

К чему ваш продукт получит доступ

Если вашему веб-сайту или приложению потребуется доступ к клиенту на Facebook, в Инстаграм, его электронной почте, расположению или любой другой личной информации, в ваших Условиях должен быть явно указан список этих данных и необходимо, чтобы клиенты согласились предоставить их, прежде чем продолжить использование. Я встречал случаи, когда, вследствие юридически неправильных формулировок, пользователь предоставлял доступ приложению только к тем файлам, которые располагались (датировались) на его устройстве на момент дачи согласия на Условия, но созданные или сохраненные на устройстве файлы уже после согласия под действие Условий не попадали, что в результате вызвало довольно серьезные судебные разбирательства и большие затраты для клиента, который обратился к нам когда было уже слишком поздно.

Сcылки на другие сайты

Это положение гласит, что вы не несете ответственности за любые сторонние веб-сайты, на которые вы ссылаетесь или подключаетесь на своем веб-сайте или в приложении. Важно понимать, что если эти ссылки ведут на поддомены вашего сайта или другие веб-адреса, которые принадлежат компании-владельцу этого же ПО, то такой отказ от ответственности уже невозможен и необходимо применять юридические механизмы обхода.

Уведомление об авторских правах

Ваша компания может предоставить четкую политику в отношении нарушения авторских прав в соответствии с Законом. Сначала должно быть указано, что любой контент и логотипы на вашем сайте или в приложении являются вашей собственностью и защищены. Кроме того, если клиент полагает, что материал или контент, размещенный или доступный через ваш продукт, нарушает авторские права, эта политика устанавливает, как и кому они должны отправлять уведомление о нарушении авторских прав, чтобы такая ситуация могла быть наиболее эффективно разрешена.

На русскоязычных просторах очень популярно создавать также такой документ как Политика использования файлов cookie. Хоть и не существует единого мнения на этот счет, но многие клиенты часто просят меня вынести этот раздел из Политики конфиденциальности в отдельный документ. На самом деле, нужно выделять его отдельно или нет зависит от архитектуры вашего проекта.

В большинстве случаев необходимость создания политики использования файлов cookie связана с их особым характером, а именно тем, что они собирают информацию о вас с самого начала использования сайта или приложения (если вы не отключили их сбор заранее при наличии таких возможностей у браузера).

Такое свойство “куки” вызывает необходимость сразу информировать пользователя о сборе данных путем показа соответствующего окна на сайте (в приложении), что подразумевает согласие пользователя с этим путем продолжения использования сайта или приложения (конклюдентные действия). Как правило, этот способ используется на сайтах, где согласие с Условиями использования и Политикой конфиденциальности обычно необходимо только в случае регистрации, совершения покупки или иных действий.

Второй вариант — “заставлять” сразу соглашаться с Политикой конфиденциальности, куда нередко интегрирован раздел об использовании файлов cookie. Этот способ мы обычно используем в мобильных приложениях и ПО.

Таким образом, любой современный IT проект, будь то мобильное приложение, ПО или сайт должны иметь грамотно составленные Условия использования (Пользовательское соглашение), Политику конфиденциальности и Политику использования файлов cookie (может быть отдельным документом или частью Политики конфиденциальности в зависимости от архитектуры проекта).

Стоит помнить, что формирование таких документов довольно сложный и кропотливый процес, который требует глубокого знания императивных норм законодательства как страны, в которой зарегистрирована компания, владеющая правами на продукт, так и международных или общеевропейских правовых норм. Любой проект требует анализа процессов, чтобы предотвратить возможные риски в будущем. Ценность квалифицированного юриста — найти эти риски и разработать индивидуальные превентивные механизмы, чтобы не допустить проблем в будущем.

Политика конфиденциальности

1.1. Политика конфиденциальности персональной информации (далее — Политика) действует в отношении всей информации, которую ООО «ГК СофтБаланс» и/или его аффилированные лица, включая все лица, входящие в одну группу с ООО «ГК СофтБаланс» (далее — Компания), могут получить о Пользователе (далее – Пользователь, субъект персональных данных) во время использования им любого из сайтов, сервисов, служб, программ, продуктов или услуг Компании (далее — Сервисы, Сервисы Компании) и в ходе исполнения Компанией любых соглашений и договоров с Пользователем. Согласие Пользователя с Политикой, выраженное им в рамках отношений с одним из перечисленных лиц, распространяется на все остальные перечисленные лица.

1.2. Настоящая Политика разработана в соответствии с действующим законодательством Российской Федерации о персональных данных.

1.3. Действие настоящей Политики распространяется на все процессы по сбору, записи, систематизации, накоплению, хранению, уточнению, извлечению, использованию, передачи (распространению, предоставлению, доступу), обезличиванию, блокированию, удалению, уничтожению персональных данных, осуществляемых с использованием средств автоматизации и без использования таких средств.

2. СОСТАВ ПЕРСОНАЛЬНЫХ ДАННЫХ

2.1. Сведениями, составляющими персональные данные, является любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных), в том числе, но не ограничиваясь, ФИО, электронная почта, телефон.

2.2. К учетным данным относятся сведения, которые автоматически передаются Сервисам ГК СофтБаланс в процессе их использования с помощью установленного на устройстве Пользователя программного обеспечения, в том числе IP-адрес, данные файлов cookie, информация о браузере Пользователя (или иной программе, с помощью которой осуществляется доступ к Сервисам), технические характеристики оборудования и программного обеспечения, используемых Пользователем, дата и время доступа к Сервисам, адреса запрашиваемых страниц и иная подобная информация.

2.3. Все обрабатываемые Компанией персональные и учётные данные являются конфиденциальной, строго охраняемой информацией в соответствии с законодательством РФ.

2.4. Настоящая Политика применима только к информации, обрабатываемой в ходе использования Сервисов Компании. Компания не контролирует и не несет ответственность за обработку информации сайтами третьих лиц, на которые Пользователь может перейти по ссылкам, доступным на сайтах Компании, в том числе в результатах поиска.

2.5. Компания не проверяет достоверность персональной информации, предоставляемой Пользователем, и не имеет возможности оценивать его дееспособность. Однако Компания исходит из того, что пользователь предоставляет достоверную и достаточную персональную информацию и поддерживает эту информацию в актуальном состоянии. Пользователь берет на себя риски предоставления недостоверной или недостаточной информации.

3. ЦЕЛИ ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ

3.1. Персональные данные обрабатываются Компанией в целях оформления трудовых и иных договорных отношений, кадрового, бухгалтерского, налогового учета, по снованиям, предусмотренным ст.22 Федерального закона от 27.06.2006 №152-ФЗ, 85-90 Трудового кодекса РФ, а также в целях организации и проведения Компанией (в т.ч. с привлечением третьих лиц) программ лояльности, маркетинговых и/или рекламных акций, исследований, опросов и иных мероприятий; исполнения Компанией обязательств в рамках договора розничной купли-продажи товаров, услуг, программ для ЭВМ в интернет-магазинах Компании; оказания иных услуг субъектам персональных данных; продвижения услуг, программ для ЭВМ и/или товаров Компании и/или партнеров Компании на рынке путем осуществления прямых контактов с клиентами Компании с помощью различных средств связи, в т.ч., не ограничиваясь, по телефону, электронной почте, почтовой рассылке, в сети Интернет и т.д.; в иных целях, если действия Компании не противоречат действующему законодательству.

4. СУБЪЕКТЫ ПЕРСОНАЛЬНЫХ ДАННЫХ:

• работники Компании;
• субъекты, с которыми заключены договоры гражданско-правового характера;
• кандидаты на замещение вакантных должностей Компании;
• клиенты Компании;
• зарегистрированные пользователи сайта Компании;
• представители юридических лиц;
• поставщики (индивидуальные предприниматели).

5. ПРИНЦИПЫ И УСЛОВИЯ ОБРАБОТКИ ПДн

5.1. Под безопасностью персональных данных Компания понимает защищенность ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении ПДн и принимает необходимые правовые, организационные и технические меры для защиты ПДн.

5.2. Обработка и обеспечение безопасности персональных данных в Компании осуществляется в соответствии с требованиями Конституции Российской Федерации, Федерального закона № 152-ФЗ «О персональных данных», подзаконных актов, других определяющих случаи и особенности обработки персональных данных федеральных законов Российской Федерации, руководящих и методических документов ФСТЭК России и ФСБ России.

5.3. При обработке персональных данных Компания придерживается следующих принципов:

• законности и справедливой основы;
• ограничения обработки персональных данных достижением конкретных, заранее определенных и законных целей;
• недопущения обработки персональных данных, несовместимой с целями сбора персональных данных;
• недопущения объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработки персональных данных, которые отвечают целям их обработки;

5.4. Компания обрабатывает персональные данные только при наличии хотя бы одного из следующих условий:

• обработка персональных данных осуществляется с согласия субъекта персональных данных на обработку его персональных данных;
• обработка персональных данных необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;
• обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем или поручителем;
• обработка персональных данных необходима для осуществления прав и законных интересов Компании или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы субъекта персональных данных;
• осуществляется обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе;
• осуществляется обработка персональных данных, подлежащих опубликованию или обязательному раскрытию в соответствии с федеральным законом.

5.5. Компания вправе поручить обработку персональных данных граждан третьим лицам, на основании заключаемого с этими лицами договора.

5.6. Лица, осуществляющие обработку персональных данных по поручению Компании, обязуются соблюдать принципы и правила обработки и защиты персональных данных, предусмотренные Федеральным законом № 152-ФЗ «О персональных данных». Для каждого лица определены перечень действий (операций) с персональными данными, которые будут совершаться юридическим лицом, осуществляющим обработку персональных данных, цели обработки, установлена обязанность такого лица соблюдать конфиденциальность и обеспечивать безопасность персональных данных при их обработке, а также указаны требования к защите обрабатываемых персональных данных.

5.7. В целях информационного обеспечения в Компании могут создаваться общедоступные источники персональных данных работников, в том числе справочники и адресные книги. В общедоступные источники персональных данных с согласия работника могут включаться его фамилия, имя, отчество, дата и место рождения, должность, номера контактных телефонов, адрес электронной почты. Сведения о работнике должны быть в любое время исключены из общедоступных источников персональных данных по требованию работника либо по решению суда или иных уполномоченных государственных органов.

5.8. Общество уничтожает либо обезличивает персональные данные по достижении целей обработки или в случае утраты необходимости достижения цели обработки.

6. ПРАВА СУБЪЕКТА ПЕРСОНАЛЬНЫХ ДАННЫХ

6.1. Гражданин, персональные данные которого обрабатываются Компанией, имеет право получать от Компании:

• подтверждение факта обработки персональных данных Компанией;
• правовые основания и цели обработки персональных данных;
• сведения о применяемых Компанией способах обработки персональных данных;
• наименование и местонахождения Компании;
• сведения о лицах, которые имеют доступ к персональным данным или которым могут быть раскрыты персональные данные на основании договора с Компанией или на основании федерального закона;
• перечень обрабатываемых персональных данных, относящихся к гражданину, от которого поступил запрос и источник их получения, если иной порядок предоставления таких данных не предусмотрен федеральным законом;
• сведения о сроках обработки персональных данных, в том числе о сроках их хранения;
• сведения о порядке осуществления гражданином прав, предусмотренных Федеральным законом «О персональных данных» № 152-ФЗ;
• информацию об осуществляемой или о предполагаемой трансграничной передаче персональных данных;
• наименование и адрес лица, осуществляющего обработку персональных данных по поручению Компании;
• иные сведения, предусмотренные Федеральным законом «О персональных данных» № 152-ФЗ или другими федеральными законами;
• требовать уточнения своих персональных данных, их блокирования или уничтожения в случае, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать свое согласие на обработку персональных данных;
• требовать устранения неправомерных действий Компании в отношении его персональных данных;
• обжаловать действия или бездействие Компании в Федеральную службу по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) или в судебном порядке в случае, если гражданин считает, что Компания осуществляет обработку его персональных данных с нарушением требований Федерального закона № 152-ФЗ «О персональных данных» или иным образом нарушает его права и свободы;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и/или компенсацию морального вреда в судебном порядке.

7. ОБЯЗАННОСТИ КОМПАНИИ

7.1. В соответствии с требованиями Федерального закона № 152-ФЗ «О персональных данных» Компания обязана:

• предоставлять субъекту персональных данных по его запросу информацию, касающуюся обработки его персональных данных, либо на законных основаниях предоставить отказ;
• по требованию субъекта персональных данных уточнять обрабатываемые персональные данные, блокировать или удалять, если персональных данных являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• вести Журнал учета обращений субъектов персональных данных, в котором должны фиксироваться запросы субъектов персональных данных на получение персональных данных, а также факты предоставления персональных данных по этим запросам;
• уведомлять субъекта персональных данных об обработке персональных данных в том случае, если персональные данные были получены не от субъекта персональных данных.

Исключение составляют следующие случаи:

• субъект ПДн уведомлен об осуществлении обработки его ПДн соответствующим оператором;
• н получены Компанией на основании федерального закона или в связи с исполнением договора, стороной которого либо выгодоприобретателем или поручителем по которому является субъект ПДн;
• ПДн сделаны общедоступными субъектом ПДн или получены из общедоступного источника;
• компания осуществляет обработку ПД для статистических или иных исследовательских целей, для осуществления профессиональной деятельности журналиста либо научной, литературной или иной творческой деятельности, если при этом не нарушаются права и законные интересы субъекта ПДн;
• предоставление субъекту ПДн сведений, содержащихся в Уведомлении об обработке ПД нарушает права и законные интересы третьих лиц;
• в случае достижения цели обработки персональных данных незамедлительно прекратить обработку персональных данных и уничтожить соответствующие персональные данные в срок, не превышающий тридцати дней с даты достижения цели обработки персональных данных, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между Компанией и субъектом персональных данных либо если Компания не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных №152-ФЗ «О персональных данных» или другими федеральными законами;
• в случае отзыва субъектом персональных данных согласия на обработку своих персональных данных прекратить обработку персональных данных и уничтожить персональные данные в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Компанией и субъектом персональных данных. Об уничтожении персональных данных Компания обязана уведомить субъекта персональных данных;
• в случае поступления требования субъекта о прекращении обработки персональных данных в целях продвижения товаров, работ, услуг на рынке немедленно прекратить обработку персональных данных.

8. МЕРЫ ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ПЕРСОНАЛЬНЫХ ДАННЫХ ПРИ ИХ ОБРАБОТКЕ

Компания принимает необходимые и достаточные организационные и технические меры для защиты персональной информации Пользователя от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий с ней третьих лиц.

9. ОТВЕТСТВЕННОСТЬ

В случае неисполнения положений настоящей Политики Компания несет ответственность в соответствии действующим законодательством Российской Федерации.

ОБРАЩАЕМ ВАШЕ ВНИМАНИЕ!

Получить разъяснения по интересующим Вас вопросам обработки Ваших персональных данных можно путём личного обращения в Компанию либо, направив официальный запрос по Почте России по адресу: 195112, Санкт-Петербург, Заневский проспект, дом 30, корпус 2, литера А. В случае направления официального запроса в Компанию в тексте запроса необходимо указать:

• ФИО;
• сведения, подтверждающие Ваше участие в отношениях с Компанией либо сведения, иным способом подтверждающие факт обработки персональных данных Компанией;
• подпись гражданина (или его законного представителя). Если запрос отправляется в электронном виде, то он должен быть оформлен в виде электронного документа и подписан электронной подписью в соответствии с законодательством РФ.

На настоящем сайте публикуется актуальная версия Политики конфиденциальности.

Политика в отношении обработки персональных данных: как составить документ

Чтобы соблюсти требования Федерального закона от 27.07.2006 № 152-ФЗ, каждая компания должна разработать документ, объясняющий, как она использует персональные данные работников, клиентов и других физических лиц.

Политика в отношении обработки персональных данных должна содержать шесть разделов. Обычно этот документ размещают в свободном доступе практически на всех сайтах, которые имеют какие-либо формы сбора данных.

Как правильно составить Политику, какие разделы в нее включить, в своих рекомендациях прописал Роскомнадзор.

Структура Политики в отношении обработки персональных данных

Ведомство рекомендует предусмотреть в документе шесть основных блоков.

1. Общие цели

В этом разделе вы фактически отвечаете на вопрос — для чего предназначена Политика в отношении обработки персональных данных? Здесь же разъясняются основные понятия, которые используются в документе, а также права и обязанности оператора и субъекта персональных данных.

2. Цели сбора персональных данных

Ст. 5 Федерального закона от 27.07.2006 № 152-ФЗ (далее — Закон о персональных данных) требует определения конкретных, законных целей сбора данных. Следовательно, нельзя обрабатывать персональные данные, которые не соответствуют этим целям.

Роскомнадзор указывает на то, что цели обработки персональных данных формулируются с учетом:

• анализа правовых актов, регламентирующих деятельность компании;
• целей фактически осуществляемой деятельности;
• деятельности, которая предусмотрена учредительными документами;
• конкретных бизнес-процессов в конкретных информационных системах персональных данных (по структурным подразделениям и их процедурам в отношении определенных категорий субъектов персональных данных).

3. Правовые основания обработки персональных данных

Закон о персональных данных не является правовым основанием обработки данных. Эту роль выполняют правовые акты, в соответствии с которыми компания, как оператор, обрабатывает данные.

Таким образом, в Политике в качестве правовых оснований можно указать:

• федеральные законы и принятые на их основе нормативные правовые акты, регулирующие отношения, связанные с деятельностью оператора;
• уставные документы компании;
• договоры, заключаемые между оператором и субъектом персональных данных;
• согласие на обработку персональных данных.

4. Объем и категории обрабатываемых данных, категории субъектов персональных данных

Важно, чтобы объем обрабатываемых персональных данных не расходился с заявленными целями обработки.

К категориям субъектов персональных данных могут относиться:

• сотрудники — как настоящие, так и бывшие;
• кандидаты на вакансии;
• родственники работников;
• клиенты и контрагенты (физлица);
• представители или работники клиентов и контрагентов.

Роскомнадзор обращает внимание на то, что по каждой категории субъектов и применительно к конкретным целям следует указать все обрабатываемые персональные данные. Отдельно описываются все случаи обработки специальных категорий персональных данных и биометрических персональных данных (если применяются).

5. Порядок и условия обработки персональных данных

В этом разделе нужно указать перечень действий с персональными данными, способы и сроки обработки данных.

Если в рамках достижения целей обработки персональных данных оператор взаимодействует с третьими лицами, то ему нужно:

• пояснить условия передачи персональных данных в адрес третьих лиц (речь идет в том числе о трансграничной передаче данных);
• указать наименование и местонахождение третьих лиц;
• обозначить цели передачи данных и их объем;
• перечислить действия по обработке, способы и иные условия обработки, включая требования к защите обрабатываемых данных.

Передавать персональные данные оператор вправе органам дознания и следствия, а также иным уполномоченным органам по предусмотренным законодательством основаниям.

В Политику следует внести сведения о соблюдении требований конфиденциальности персональных данных (они названы в ст. 7 Закона о персональных данных) и информацию о принятии мер (ч. 2 ст. 18.1, ч. 1 ст. 19).

Кроме того, оператору нужно указать условие прекращения обработки персональных данных. Это может быть достижение целей обработки, истечение срока действия согласия на обработку, отзыв согласия субъекта персональных данных на обработку, выявление неправомерной обработки данных.

Отдельное внимание стоит уделить такому вопросу, как хранение персональных данных. Во-первых, обязательно называются сроки. Во-вторых, используются базы данных, находящиеся на территории РФ. В-третьих, учитывается тот факт, что хранение должно осуществляться в форме, позволяющей определить субъекта персональных данных не дольше, чем этого требуют цели обработки. В-четвертых, необходимо упомянуть об иных условия хранения, в том числе, при обработке данных без использования средств автоматизации.

6. Актуализация, исправление, удаление и уничтожение данных, ответы на запросы субъектов на доступ к персональным данным

Согласно ст. 21, персональные данные должны быть актуализированы оператором, если подтвержден факт неточности. То же касается и подтверждения факта неправомерности обработки.

Персональные данные подлежат уничтожению при достижении целей их обработки и в случае отзыва субъектом согласия на их обработку, если: иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных; иное не предусмотрено иным соглашением между оператором и субъектом персональных данных. Оператор не вправе осуществлять обработку без согласия субъекта персональных данных на основаниях, предусмотренных Законом о персональных данных или иными федеральными законами.

На основании ст. 20 оператор обязан сообщить субъекту персональных данных информацию об осуществляемой им обработке по запросу.

Роскомнадзор рекомендует включить в Политику регламенты реагирования на запросы и обращения субъектов персональных данных по поводу неточности данных, неправомерности их обработки, отзыва согласия и доступа к своим данным. Не лишним будет добавить в Политику соответствующие формы запросов и обращений.

Размещение Политики в отношении обработки персональных данных

Любой человек, чьи данные обрабатывает компания, имеет право ознакомиться с Политикой. Поэтому ее нужно размещать в общедоступном месте. Например, использовать для этого информационный стенд.

Если компания собирает персональные данные через интернет, то она обязана разместить Политику на сайте. Посетитель сайта сможет ознакомиться с ней, кликнув по ссылке.

Не пропустите новые публикации

Подпишитесь на рассылку, и мы поможем вам разобраться в требованиях законодательства, подскажем, что делать в спорных ситуациях, и научим больше зарабатывать.