Privace

Пользовательское соглашение
1. Общие положения Мы (далее — «мы», «нас» или «наш») считаем своим долгом защищать конфиденциальность личной информации клиентов, которые могут быть идентифицированы каким-либо образом, и которые посещают веб-сайт https://www.kochevnik-irk.com/ (далее — «Сайт») и пользуются его услугами (далее — «Сервисы»). Поправки к настоящей Политике конфиденциальности будут размещены на Сайте и/или в Сервисах и будут являться действительными сразу после публикации. Ваше дальнейшее использование Сервисов после внесения любых поправок в Политике конфиденциальности означает Ваше принятие данных изменений.
2. Согласие на сбор и использование информации. Когда Вы присоединяетесь к нам, как пользователь наших Сервисов, мы просим предоставить личную информацию, которая будет использоваться для оформления заказов на сайте https://kochevnik-irk.com/, а также при взаимодействии с клиентами по вопросам оформления и исполнения заказов, и для других целей, изложенных в настоящей Политике конфиденциальности. Ваше имя, номер телефона, адрес доставки и некоторые другие сведения о Вас могут потребоваться нам для первоначального оформления заказов, или должны быть указаны в процессе использования Сервисов. Предоставляя личную информацию нам, и, сохранив тем самым возможность с нашей стороны предоставлять Вам услуги, Вы добровольно соглашаетесь на сбор, использование и раскрытие такой личной информации, которая указана в данной Политике конфиденциальности. Не ограничивая вышесказанное, мы можем время от времени уточнять о Вашем согласии в процессе сбора, использования или раскрытия Вашей личной информации в конкретных обстоятельствах. Иногда Ваше согласие будет подразумеваться через Ваше взаимодействие с нами, если цель сбора, использования или раскрытия информации очевидна, и Вы добровольно предоставляете эту информацию.
Мы можем использовать Вашу личную информацию или данные Учетной записи для следующих целей:

Для оформления заказов и уточнения деталей по заказам;
Для предоставления информации Вам, чтобы Вы могли использовать Сайт и Сервисы более эффективно;
Для общения с Вами с целью информирования об изменениях или дополнениях к Сервисам, или о наличии любых услуг, которые мы предоставляем;
Для соблюдения данной Политики конфиденциальности;
Чтобы ответить на претензии в отношении любого нарушения наших прав или прав любых третьих лиц;
Чтобы соответствовать Вашим запросам по обслуживанию клиентов;
Для защиты прав, собственности и личной безопасности Вас, нас, наших пользователей и общественности, и как требуется или одобрено законом.

3. Мы можем оповещать Вас по поводу наших продуктов, услуг, новостей и событий, а также продуктов, услуг, новостей и событий наших клиентов и партнеров, с которыми у нас заключен договор о сотрудничестве. У Вас есть возможность не получать эту информацию. Мы предоставляем возможность отказаться от всех почтовых сообщений подобного рода, или приостановить оповещения с описанными выше целями, если Вы свяжетесь с нами и подтвердите желание не сообщать Вам данную информацию. Единственный вид данных сообщений, от которых Вы не можете отказаться, это обязательные объявления, касающиеся Сервисов, включая информацию, планируемых приостановок и отключений Сервисов. Мы постараемся свести к минимуму подобные оповещения для Вас.
4. Раскрытие информации Мы будем раскрывать Вашу личную информацию третьим лицам только в соответствии с Вашими инструкциями или в случае необходимости для того, чтобы предоставить Вам определенный сервис, или по другим причинам в соответствии с действующим законодательством в отношении конфиденциальности. Как правило, мы не осуществляем и не будем осуществлять продажу, сдачу в аренду, распространение или раскрытие Вашей личной информации без предварительного получения Вашего разрешения или без указания необходимых условий для этих действий в настоящей Политике конфиденциальности. Публичная информация, которая доступна о Вас в открытом доступе, такая как: имя, фамилия, ссылки на ваши личные страницы в социальных сетях и прочее, и которая может быть получена любым другим способом без наших Сервисов, в частности через социальные сети, может быть передана нами третьим лицам без Вашего согласия.
5. Ссылки Сайт может содержать ссылки на другие сайты, и мы не несем ответственности за политику конфиденциальности или содержание данных сайтов. Мы рекомендуем Вам ознакомиться с политикой конфиденциальности связанных сайтов. Их политика конфиденциальности и деятельность отличаются от наших Политики конфиденциальности и деятельности.
6. Cookies и логгирование Мы используем «куки» (cookies) и «логи» (log files) для отслеживания информации о пользователях. Cookies являются небольшими по объему данными, которые передаются веб-сервером через Ваш веб-браузер и хранятся на жестком диске Вашего компьютера. Мы используем cookies для отслеживания вариантов страниц, которые видел посетитель, для подсчета нажатий, сделанных посетителем на том или ином варианте страницы, для мониторинга трафика и для измерения популярности сервисных настроек. Мы будем использовать данную информацию, чтобы предоставить Вам релевантные данные и услуги. Данная информация также позволяет нам убедиться, что посетители видят именно ту целевую страницу, которую они ожидают увидеть.
7. Передача собственности или бизнеса В случае смены владельца или другой передачей бизнеса, такой как слияние, поглощение или продажа наших активов, Ваша информация может быть передана в соответствии с применимыми законами о конфиденциальности.
8. Безопасность Мы будем стремиться предотвратить несанкционированный доступ к Вашей личной информации, однако, никакая передача данных через интернет, мобильное устройство или через беспроводное устройство не могут гарантировать стопроцентную безопасность. Мы не несем ответственности за авторизацию Вами в социальных сетях. Пожалуйста, помните, что Вы контролируете те данные, которые Вы сообщаете нам при использовании Сервисов. В конечном счете Вы несете ответственность за сохранение в тайне Вашей личности и/или любой другой личной информации, находящейся в Вашем распоряжении в процессе пользования Сервисами. Всегда будьте осторожны и ответственны в отношении Вашей личной информации. Мы не несем ответственности за использование другими лицами любой информации, которую Вы предоставляете им, и Вы должны соблюдать осторожность в выборе личной информации, которую Вы передаете третьим лицам через Сервисы. Точно так же мы не несем ответственности за содержание личной информации или другой информации, которую Вы получаете от других пользователей через Сервисы, и Вы освобождаете нас от любой ответственности в связи с содержанием любой личной информации или другой информации, которую Вы можете получить, пользуясь Сервисами. Мы не несем никакой ответственности за проверку, точность личной информации или другой информации, предоставленной третьими лицами. Вы освобождаете нас от любой ответственности в связи с использованием подобной личной информации или иной информации о других.
Положение о персональных данных
1. Общие положения
1.1. Настоящим Положением определяется порядок обращения, защиты и обработки персональных данных, установленный в обществе с ограниченной ответственностью «Баяр» (далее — «Компания», «Оператор»).
1.2. Упорядочение обращения с персональными данными имеет целью обеспечить соблюдение законных прав и интересов Компании, ее работников и третьих лиц в связи с необходимостью получения (сбора), систематизации (комбинирования), обработки, хранения и передачи сведений, составляющих персональные данные.
1.3. Персональные данные - любая информация, относящаяся к конкретному лицу (субъекту персональных данных) и необходимая Компании в связи с осуществлением хозяйственной деятельности.
1.4. Сведения о персональных данных относятся к числу конфиденциальных (составляющих охраняемую законом тайну Компании). Режим конфиденциальности в отношении персональных данных снимается в случаях, предусмотренных федеральными законами.
1.5. Обработка персональных данных осуществляется в соответствии законодательством Российской Федерации и настоящим положением.
2. Состав персональных данных
2.1. Для целей настоящего Положения используются следующие основные понятия: персональные данные - любая информация, относящаяся прямо или косвенно к определенному или определяемому физическому лицу (субъекту персональных данных) (п1 ст.3 Федерального закона от 27.07.2006 №152-ФЗ); обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных (п.3 ст.3 Федерального закона от 27.07.2006 №152-ФЗ); распространение персональных данных - действия, направленные на раскрытие персональных данных неопределенному кругу лиц (п.5 ст.3 Федерального закона от 27.07.2006 №152-ФЗ); предоставление персональных данных - действия, направленные на раскрытие персональных данных = определенному лицу или определенному кругу лиц (п.6 ст.3 Федерального закона от 27.07.2006 №152-ФЗ); блокирование персональных данных - временное прекращение обработки персональных данных (за исключением случаев, если обработка необходима для уточнения персональных данных) (п.7 ст.3 Федерального закона от 27.07.2006 №152-ФЗ); уничтожение персональных данных - действия, в результате которых становится невозможным восстановить содержание персональных данных в информационной системе персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных (п.8 ст.3 Федерального закона от 27.07.2006 №152-ФЗ); обезличивание персональных данных - действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному (п.9 ст.3 Федерального закона от 27.07.2006 №152-ФЗ); информация - сведения (сообщения, данные) независимо от формы их представления; документированная информация - зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию или ее материальный носитель.
2.2. Информация, получаемая компанией, может иметь как документальную, так и электронную форму.
2.3. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
2.4. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
2.5. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
2.6. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
2.7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого или выгодоприобретателем по которому является субъект персональных данных.
2.8. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.
3. Обработка персональных данных
3.1. Источником информации о персональных данных могут являться субъект персональных данных, общедоступные источники персональных данных и иные операторы персональных данных. Обработка персональных данных, источником которых не является непосредственно субъект персональных данных должна осуществляться в строгом соответствии с действующим законодательством Российской Федерации в области защиты персональных данных. При получении информации о персональных данных от третьих лиц Компания должна предпринять возможные меры, а также получить заверения и гарантии от третьих лиц, предоставляющих информацию, о том, что обработка персональных данных такими лицами осуществляется в строгом соответствии с действующим законодательством.
3.2. Компания не имеет права получать и обрабатывать персональные данные о расовой, национальной принадлежности, политических взглядах, религиозных и философских убеждениях, состоянии здоровья, интимной жизни субъекта персональных данных, за исключением случаев, когда субъект персональных данных дал свое прямое согласие в письменной форме на обработку указанных персональных данных, а также в случае, если такие персональные данные сделаны общедоступными субъектом персональных данных;
3.3. Обработка персональных данных возможна только при наличии согласия субъекта персональных данных на обработку его персональных данных либо без такого согласия в следующих случаях: Обработка персональных данных необходима для достижения целей, предусмотренных законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей; Обработка персональных данных необходима для исполнения договора, стороной которого либо выгодоприобретателем по которому является субъект персональных данных, а также для заключения договора по инициативе субъекта персональных данных или договора, по которому субъект персональных данных будет являться выгодоприобретателем; Обработка персональных данных необходима для осуществления прав и законных интересов оператора или третьих лиц при условии, что при этом не нарушаются права и свободы субъекта персональных данных; Обработка персональных данных осуществляется в статистических или иных исследовательских целях (за исключением обработки персональных данных, в целях продвижения товаров, работ и услуг), при условии обязательного обезличивания персональных данных; Обработка персональных данных, доступ неограниченного круга лиц к которым предоставлен субъектом персональных данных либо по его просьбе; По требованию полномочных государственных органов - в случаях, предусмотренных федеральным законом.
3.4. Письменное согласие на обработку персональных данных должно включать:
1. фамилию, имя, отчество, адрес субъекта персональных данных, номер основного документа, удостоверяющего его личность, сведения о дате выдачи указанного документа и выдавшем его органе;
2. наименование и адрес оператора, получающего согласие субъекта персональных данных;
3. цель обработки персональных данных;
4. перечень персональных данных, на обработку которых дается согласие субъекта персональных данных;
5. наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку персональных данных по поручению оператора, если обработка будет поручена такому лицу;
6. перечень действий с персональными данными, на совершение которых дается согласие, общее описание используемых оператором способов обработки персональных данных;
7. срок, в течение которого действует согласие субъекта персональных данных, а также способ его отзыва, если иное не установлено федеральным законом; 8. подпись субъекта персональных данных.
3.5. Субъект персональных данных принимает решение о предоставлении его персональных данных и дает согласие на их обработку свободно, своей волей и в своем интересе. Согласие на обработку персональных данных должно быть конкретным, информированным и сознательным. Согласие на обработку персональных данных может быть дано субъектом персональных данных или его представителем в любой позволяющей подтвердить факт его получения форме, если иное не установлено федеральным законом.
3.6. Обработка персональных данных в целях продвижения товаров, работ и услуг путем осуществления прямых контактов с потенциальным потребителем с помощью средств связи допускается только при условии предварительного согласия субъекта персональных данных. Указанная обработка персональных данных признается осуществляемой без предварительного согласия субъекта персональных данных, если оператор не докажет, что такое согласие было получено. Оператор обязан немедленно прекратить по требованию субъекта персональных данных обработку его персональных данных.
4. Передача персональных данных
4.1. При передаче персональных данных Компания должна соблюдать следующие требования:
1. Не сообщать персональные данные третьей стороне без письменного согласия субъекта персональных данных, за исключением случаев, установленных федеральным законом.
2. Не сообщать персональные данные субъекта персональных данных в коммерческих целях без его письменного согласия субъекта персональных данных.
3. Предупредить лиц, получивших персональные данные, о том, что эти данные могут быть использованы лишь в целях, для которых они сообщены, и требовать от этих лиц подтверждение того, что это правило соблюдено. Лица, получившие персональные данные субъекта персональных данных, обязаны соблюдать режим секретности (конфиденциальности).
4. Разрешать доступ к персональным данным субъекта персональных данных только специально уполномоченным лицам, при этом указанные лица должны иметь право получать только те персональные данные, которые необходимы для выполнения конкретной функции.
4.2. Персональные данные обрабатываются лицом ответственным за защиту персональных данных, уполномоченным руководителем Компании. Персональные данные на материальных носителях хранятся по месту нахождения Компании. Персональные данные на электронных носителях хранятся на сервере, установленном по месту нахождения Компании.
4.3. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора. Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных.
4.4. Лицо, осуществляющее обработку персональных данных по поручению оператора, не обязано получать согласие субъекта персональных данных на обработку его персональных данных.
4.5. В случае, если оператор поручает обработку персональных данных другому лицу, ответственность перед субъектом персональных данных за действия указанного лица несет оператор. Лицо, осуществляющее обработку персональных данных по поручению оператора, несет ответственность перед оператором.
4.6. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети «Интернет», Оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации. При этом допускается последующая трансграничная передача персональных данных в соответствии с законодательством Российской Федерации.
5. Доступ к персональным данным
5.1. Право доступа к персональным данным работников Компании имеют: руководитель Компании, лицо ответственное за кадровый учет, лицо ответственное за ведение бухгалтерского учета. Право доступа к персональным данным третьих лиц имеют: руководитель Компании, руководитель отдела продаж. Право доступа к персональным данным также может быть предоставлено иным лицам, перечисленным в журнале лиц, имеющих доступ к персональным данным.
5.2. Субъекты персональных данных имеет право:
1. Получать доступ к своим персональным данным и ознакомление с ними, включая право на безвозмездное получение копии любой записи, содержащей его персональные данные.
2. Требовать уточнения, исключения или исправления неполных, неверных, устаревших, недостоверных, незаконно полученных или не являющихся необходимыми персональных данных.
3. Получать сведения о лицах, которые имеют доступ к персональным данным или которым может быть предоставлен такой доступ, перечень обрабатываемых персональных данных и источник их получения, сроки обработки персональных данных, в том числе сроки их хранения, а также сведения о том, какие юридические последствия для субъекта персональных данных может повлечь за собой обработка его персональных данных.
4. Требовать извещения всех лиц, которым ранее были сообщены неверные или неполные персональные данные, обо всех произведенных в них исключениях, исправлениях или дополнениях.
5. Обжаловать в уполномоченный орган по защите прав субъектов персональных данных или в судебном порядке неправомерные действия или бездействия Оператора при обработке и защите персональных данных.
5.3. Обработка персональных данных субъекта персональных данных допускается исключительно в служебных целях с письменного разрешения руководителя Компании.
6. Ответственность за нарушение порядка обработки персональных данных
6.1. Лица, виновные в нарушении порядка обращения с персональными данными, несут дисциплинарную, административную, гражданско-правовую или уголовную ответственность в соответствии с действующим законодательством.
6.2. За нарушение порядка обращения с персональными данными ответственное лицо несет ответственность, предусмотренную законом, а также возмещает ущерб, причиненный неправомерным использованием информации, содержащей персональные данные.

7. Особенности обработки персональных данных без использования средств автоматизации
7.1. Обработка персональных данных, содержащихся в информационной системе персональных данных либо извлеченных из такой системы, считается осуществленной без использования средств автоматизации (неавтоматизированной), если такие действия с персональными данными, как использование, уточнение, распространение, уничтожение персональных данных в отношении каждого из субъектов персональных данных, осуществляются при непосредственном участии человека.
7.2. Обработка персональных данных не может быть признана осуществляемой с использованием средств автоматизации только на том основании, что персональные данные содержатся в информационной системе персональных данных либо были извлечены из нее.
7.3. Персональные данные при их обработке, осуществляемой без использования средств автоматизации, должны обособляться от иной информации, в частности путем фиксации их на отдельных материальных носителях персональных данных (далее - материальные носители), в специальных разделах или на полях форм (бланков).
7.4. При фиксации персональных данных на материальных носителях не допускается фиксация на одном материальном носителе персональных данных, цели обработки которых заведомо не совместимы. Для обработки различных категорий персональных данных, осуществляемой без использования средств автоматизации, для каждой категории персональных данных должен использоваться отдельный материальный носитель.
7.5. При использовании типовых форм документов, характер информации в которых предполагает или допускает включение в них персональных данных (далее - типовая форма), должны соблюдаться следующие условия:
1. типовая форма или связанные с ней документы (инструкция по ее заполнению, карточки, реестры и журналы) должны содержать сведения о цели обработки персональных данных, осуществляемой без использования средств автоматизации, имя (наименование) и адрес оператора, фамилию, имя, отчество и адрес субъекта персональных данных, источник получения персональных данных, сроки обработки персональных данных, перечень действий с персональными данными, которые будут совершаться в процессе их обработки, общее описание используемых оператором способов обработки персональных данных;
2. типовая форма должна предусматривать поле, в котором субъект персональных данных может поставить отметку о своем согласии на обработку персональных данных, осуществляемую без использования средств автоматизации, - при необходимости получения письменного согласия на обработку персональных данных;
3. типовая форма должна быть составлена таким образом, чтобы каждый из субъектов персональных данных, содержащихся в документе, имел возможность ознакомиться со своими персональными данными, содержащимися в документе, не нарушая прав и законных интересов иных субъектов персональных данных;
4. типовая форма должна исключать объединение полей, предназначенных для внесения персональных данных, цели обработки которых заведомо не совместимы.
7.6 При несовместимости целей обработки персональных данных, зафиксированных на одном материальном носителе, если материальный носитель не позволяет осуществлять обработку персональных данных отдельно от других зафиксированных на том же носителе персональных данных, должны быть приняты меры по обеспечению раздельной обработки персональных данных.
7.7. Уничтожение или обезличивание части персональных данных, если это допускается материальным носителем, может производиться способом, исключающим дальнейшую обработку этих персональных данных с сохранением возможности обработки иных данных, зафиксированных на материальном носителе.
7.8. Уточнение персональных данных при осуществлении их обработки без использования средств автоматизации производится путем обновления или изменения данных на материальном носителе, а если это не допускается техническими особенностями материального носителя, осуществляется путем фиксации на том же материальном носителе сведений о вносимых в них изменениях либо путем изготовления нового материального носителя с уточненными персональными данными.
7.9. Обработка персональных данных, осуществляемая без использования средств автоматизации, должна осуществляться таким образом, чтобы в отношении каждой категории персональных данных можно было определить места хранения персональных данных (материальных носителей) и установить перечень лиц, осуществляющих обработку персональных данных либо имеющих к ним доступ.
7.10. При хранении материальных носителей должны соблюдаться условия, обеспечивающие сохранность персональных данных и исключающие несанкционированный к ним доступ. Перечень мер, необходимых для обеспечения таких условий, порядок их принятия, а также перечень лиц, ответственных за реализацию указанных мер, устанавливаются Компанией.
8. Меры, направленные на защиту персональных данных
8.1. Персональные данные, обрабатываемые при помощи материальных носителей, должны храниться в запирающихся шкафах, в помещениях, доступ к которым может ограничен для определенного круга лиц. Меры физической защиты должны обеспечивать контроль доступа к персональным данным. Сохранность персональных данных, обрабатываемые при помощи вычислительной техники, должна быть обеспечена средствами программного обеспечения, в т.ч. путем предоставления доступа к персональным данным только после ввода логина и пароля соответствующего лица, у которого есть доступ к персональным данным или иным способом, обеспечивающим контроль доступа к персональным данным.
8.2. Меры по обеспечению безопасности персональных данных принимаются для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.
8.3. Оценка эффективности реализованных в рамках системы защиты персональных данных мер по обеспечению безопасности персональных данных проводится Оператором самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, осуществляющих деятельность по технической защите конфиденциальной информации. Регулярность проведения проверки устанавливается руководителем Компании.
8.4. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учетом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:
1. идентификация и аутентификация субъектов доступа и объектов доступа;
2. управление доступом субъектов доступа к объектам доступа;
3. ограничение программной среды;
4. защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные;
5. регистрация событий безопасности;
6. антивирусная защита;
7. обнаружение (предотвращение) вторжений;
8. контроль (анализ) защищенности персональных данных;
9. обеспечение целостности информационной системы и персональных данных;
10. обеспечение доступности персональных данных;
11. защита среды виртуализации;
12. защита технических средств;
13. защита информационной системы, ее средств, систем связи и передачи данных;
14. выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее - инциденты), и реагирование на них;
15. управление конфигурацией информационной системы и системы защиты персональных данных.
8.5. Меры по идентификации и аутентификации субъектов доступа и объектов доступа должны обеспечивать присвоение субъектам и объектам доступа уникального признака (идентификатора), сравнение предъявляемого субъектом (объектом) доступа идентификатора с перечнем присвоенных идентификаторов, а также проверку принадлежности субъекту (объекту) доступа предъявленного им идентификатора (подтверждение подлинности).
8.6. Меры по управлению доступом субъектов доступа к объектам доступа должны обеспечивать управление правами и привилегиями субъектов доступа, разграничение доступа субъектов доступа к объектам доступа на основе совокупности установленных в информационной системе правил разграничения доступа, а также обеспечивать контроль за соблюдением этих правил.
8.7. Меры по ограничению программной среды должны обеспечивать установку и (или) запуск только разрешенного к использованию в информационной системе программного обеспечения или исключать возможность установки и (или) запуска запрещенного к использованию в информационной системе программного обеспечения.
8.8. Меры по защите машинных носителей персональных данных (средств обработки (хранения) персональных данных, съемных машинных носителей персональных данных) должны исключать возможность несанкционированного доступа к машинным носителям и хранящимся на них персональным данным, а также несанкционированное использование съемных машинных носителей персональных данных.
8.9. Меры по регистрации событий безопасности должны обеспечивать сбор, запись, хранение и защиту информации о событиях безопасности в информационной системе, а также возможность просмотра и анализа информации о таких событиях и реагирование на них.
8.10. Меры по антивирусной защите должны обеспечивать обнаружение в информационной системе компьютерных программ либо иной компьютерной информации, предназначенной для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты информации, а также реагирование на обнаружение этих программ и информации.
8.11. Меры по обнаружению (предотвращению) вторжений должны обеспечивать обнаружение действий в информационной системе, направленных на несанкционированный доступ к информации, специальные воздействия на информационную систему и (или) персональные данные в целях добывания, уничтожения, искажения и блокирования доступа к персональным данным, а также реагирование на эти действия.
8.12. Меры по контролю (анализу) защищенности персональных данных должны обеспечивать контроль уровня защищенности персональных данных, обрабатываемых в информационной системе, путем проведения систематических мероприятий по анализу защищенности информационной системы и тестированию работоспособности системы защиты персональных данных.
8.13. Меры по обеспечению целостности информационной системы и персональных данных должны обеспечивать обнаружение фактов несанкционированного нарушения целостности информационной системы и содержащихся в ней персональных данных, а также возможность восстановления информационной системы и содержащихся в ней персональных данных.
8.14. Меры по обеспечению доступности персональных данных должны обеспечивать авторизованный доступ пользователей, имеющих права по доступу, к персональным данным, содержащимся в информационной системе, в штатном режиме функционирования информационной системы.
8.15. Меры по защите среды виртуализации должны исключать несанкционированный доступ к персональным данным, обрабатываемым в виртуальной инфраструктуре, и к компонентам виртуальной инфраструктуры и (или) воздействие на них, в том числе к средствам управления виртуальной инфраструктурой, монитору виртуальных машин (гипервизору), системе хранения данных (включая систему хранения образов виртуальной инфраструктуры), сети передачи данных через элементы виртуальной или физической инфраструктуры, гостевым операционным системам, виртуальным машинам (контейнерам), системе и сети репликации, терминальным и виртуальным устройствам, а также системе резервного копирования и создаваемым ею копиям.
8.16. Меры по защите технических средств должны исключать несанкционированный доступ к стационарным техническим средствам, обрабатывающим персональные данные, средствам, обеспечивающим функционирование информационной системы (далее - средства обеспечения функционирования), и в помещения, в которых они постоянно расположены, защиту технических средств от внешних воздействий, а также защиту персональных данных, представленных в виде информативных электрических сигналов и физических полей.
8.17. Меры по защите информационной системы, ее средств, систем связи и передачи данных должны обеспечивать защиту персональных данных при взаимодействии информационной системы или ее отдельных сегментов с иными информационными системами и информационно-телекоммуникационными сетями посредством применения архитектуры информационной системы и проектных решений, направленных на обеспечение безопасности персональных данных.
8.18. Меры по выявлению инцидентов и реагированию на них должны обеспечивать обнаружение, идентификацию, анализ инцидентов в информационной системе, а также принятие мер по устранению и предупреждению инцидентов.
8.19. Меры по управлению конфигурацией информационной системы и системы защиты персональных данных должны обеспечивать управление изменениями конфигурации информационной системы и системы защиты персональных данных, анализ потенциального воздействия планируемых изменений на обеспечение безопасности персональных данных, а также документирование этих изменений.
8.20. Выбор мер по обеспечению безопасности персональных данных, подлежащих реализации в информационной системе в рамках системы защиты персональных данных, включает:
1. определение базового набора мер по обеспечению безопасности персональных данных для установленного уровня защищенности персональных данных;
2. адаптацию базового набора мер по обеспечению безопасности персональных данных с учетом структурно-функциональных характеристик информационной системы, информационных технологий, особенностей функционирования информационной системы (в том числе исключение из базового набора мер, непосредственно связанных с информационными технологиями, не используемыми в информационной системе, или структурно-функциональными характеристиками, не свойственными информационной системе);
3. уточнение адаптированного базового набора мер по обеспечению безопасности персональных данных, в результате чего определяются меры по обеспечению безопасности персональных данных, направленные на нейтрализацию всех актуальных угроз безопасности персональных данных для конкретной информационной системы;
4. дополнение уточненного адаптированного базового набора мер по обеспечению безопасности персональных данных мерами, обеспечивающими выполнение требований к защите персональных данных, установленными иными нормативными правовыми актами в области обеспечения безопасности персональных данных и защиты информации.
8.21. При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности персональных данных, а также с учетом экономической целесообразности на этапах адаптации базового набора мер и (или) уточнения адаптированного базового набора мер могут разрабатываться иные (компенсирующие) меры, направленные на нейтрализацию актуальных угроз безопасности персональных данных. В этом случае в ходе разработки системы защиты персональных данных должно быть проведено обоснование применения компенсирующих мер для обеспечения безопасности персональных данных.
9. Меры безопасности, предпринимаемые при получении и сборе информации
9.1. В процессе оказания услуг клиентам Компании (далее – Клиент) по проведению маркетинговых исследований, статистического анализа, а также услуг по оценке качества обслуживания, Компанией осуществляется сбор сведений и информации о физических лицах, являющихся потребителями товаров, работ и услуг Клиента (далее – Потребитель).
9.2. В целях исполнения пользовательского соглашения о предоставлении доступа к информационно-коммуникационной сети «Интернет», а также в целях проведения маркетинговых исследований с обезличенными данными Компания обрабатывает следующие данные:
1. Общедоступные сведения, опубликованные Потребителем; Получение указанных сведений осуществляется непосредственно от Потребителя в процессе подключения Потребителя к информационно-коммуникационной сети «Интернет» при использовании специализированного программного обеспечения Компании, а также из общедоступных источников.
9.3. В целях исполнения требований Федерального закона от 7 июля 2003 г. № 126-ФЗ «О связи», а также Постановления Правительства РФ от 21 апреля 2005 г. № 241 «О мерах по организации оказания универсальных услуг связи» осуществляется сбор следующей информации:
1. Номер телефона Потребителя;
2. Имя Потребителя;
3. Адрес доставки Потребителя.
9.4. При предоставлении доступа к информационно-коммуникационной сети «Интернет» Потребитель принимает условия пользовательского соглашения и дает свое согласие на обработку данных, которые должны быть получены Компанией в целях исполнения действующего законодательства, а также данных, которые могут быть получены Компанией вследствие исполнения Компанией и Потребителем пользовательского соглашения и осуществления хозяйственной деятельности Компании. Форма согласия на обработку персональных данных установлена в приложении к настоящему положению.
9.5. Порядок обеспечения защиты персональных данных, установленный настоящим положением о защите персональных данных распространяется на информацию, полученную в результате предоставления доступа Потребителю к информационно-коммуникационной сети «Интернет».
10. Заключительные положения
10.1. Настоящее положение определяет состав и перечень мер, необходимых и достаточных для обеспечения выполнения обязанностей, предусмотренных законодательством и включает следующие обязанности:
1. назначение лица, ответственного за организацию обработки персональных данных;
2. порядок действия настоящего положения;
3. применение правовых, организационных и технических мер по обеспечению безопасности персональных данных;
4. осуществление внутреннего контроля и аудита соответствия обработки персональных данных;
5. оценка вреда, который может быть причинен субъектам персональных данных, соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения обязанностей по защите персональных данных;
6. ознакомление лиц, непосредственно осуществляющих обработку персональных данных, с настоящим положением.
10.2. Оператор обязан опубликовать (в том числе в информационно-телекоммуникационной сети «Интернет») или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных
10.3. Обеспечение безопасности персональных данных в Компании достигается:
1. определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
2. применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных;
3. применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
4. оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
5. учетом машинных носителей персональных данных;
6. обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
7. восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
8. установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учета всех действий, совершаемых с персональными данными в информационной системе персональных данных;
9. контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищенности информационных систем персональных данных.
10.4. Настоящая Политика подлежит опубликованию на сайте Оператора.
10.5. Оператор вправе вносить изменения в настоящую Политику в случае изменения законодательства Российской Федерации, порядка обработки персональных данных или используемых информационных систем.
10.6. Актуальная редакция Политики размещается на сайте Оператора.