УТВЕРЖДЕНА приказом ИП Шуткина М. Э. от №
Политика в отношении обработки персональных данных
Индивидуальный предприниматель Шуткин Максим Эдуардович · сайт karlab.ru · редакция от , действует с
1Общие положения
1.1.Настоящая Политика определяет порядок обработки персональных данных и меры по обеспечению их безопасности у индивидуального предпринимателя Шуткина Максима Эдуардовича (далее — Оператор) и разработана во исполнение пункта 2 части 1 и части 2 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон о персональных данных).
1.2.Реквизиты Оператора: ИП Шуткин Максим Эдуардович, ИНН 668400691739, ОГРНИП 316965800067562, адрес места осуществления деятельности и для корреспонденции: 623100, Свердловская область, г. Первоуральск, Московское шоссе, 10, стр. 2 (производство); телефон +7 982 696-90-89; электронная почта для обращений по вопросам персональных данных: kar.lab@yandex.ru.
1.3.Политика распространяется на все персональные данные, которые Оператор получает через сайт https://karlab.ru (далее — Сайт), по телефону, электронной почте, в мессенджерах и на торговых площадках, а также при заключении и исполнении договоров поставки домокомплектов под торговым наименованием «Каркас Лаб».
1.4.Политика обязательна для всех лиц, допущенных Оператором к обработке персональных данных. Действующая редакция размещена в открытом доступе по адресу https://karlab.ru/privacy. Термины используются в значениях, установленных статьёй 3 Закона о персональных данных.
2Принципы и условия обработки
2.1.Обработка ведётся на законной и справедливой основе; ограничивается достижением конкретных, заранее определённых целей; не допускается объединение баз данных, обработка в которых ведётся в несовместимых целях; обрабатываются только те данные, которые отвечают целям обработки, в необходимом и достаточном объёме; обеспечиваются точность и актуальность данных; хранение в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки.
2.2.Оператор не обрабатывает специальные категории персональных данных (о здоровье, политических взглядах и т. п.) и биометрические персональные данные. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки.
2.3.Оператор не продаёт и не передаёт персональные данные третьим лицам в маркетинговых целях и не ведёт рекламных рассылок по базе клиентов.
3Цели обработки, категории субъектов и состав данных
- Субъекты
- Посетители Сайта, оставившие заявку; лица, обратившиеся по телефону, почте, в мессенджерах, на Авито и во ВКонтакте
- Состав данных
- Имя; номер телефона; населённый пункт, где расположен участок; выбранная модель, комплекты и материал террасы; предпочитаемый мессенджер; комментарий к заявке; учётная запись в мессенджере или на площадке; содержание переписки; записи телефонных разговоров с менеджером; служебные сведения о заявке: адрес страницы, источник перехода, UTM-метки, cookie и отпечаток браузера, передаваемые приёмником форм Tilda
- Основание
- Согласие субъекта (п. 1 ч. 1 ст. 6); действия по инициативе субъекта до заключения договора (п. 5 ч. 1 ст. 6)
- Срок
- До отзыва согласия, но не дольше 1 года с даты последнего контакта, если договор не заключён; записи телефонных разговоров — не дольше 6 месяцев
- Субъекты
- Покупатели — физические лица, их представители; получатели груза
- Состав данных
- Фамилия, имя, отчество; серия, номер, дата выдачи и орган, выдавший паспорт; адрес регистрации; адрес доставки (участка); телефон; электронная почта; сведения о заказе и платежах
- Основание
- Договор, стороной или выгодоприобретателем которого является субъект (п. 5 ч. 1 ст. 6)
- Срок
- Срок действия договора и 5 лет после его исполнения (ст. 29 Федерального закона № 402-ФЗ «О бухгалтерском учёте», пп. 8 п. 1 ст. 23 НК РФ)
- Субъекты
- Покупатели; контрагенты — физические лица и представители юридических лиц
- Состав данных
- ФИО, должность, контактные данные, реквизиты документов и платежей
- Основание
- Исполнение обязанностей, возложенных законом (п. 2 ч. 1 ст. 6)
- Срок
- Сроки, установленные законодательством о бухгалтерском учёте и архивном деле
- Субъекты
- Покупатели, давшие отдельное согласие
- Состав данных
- Имя, регион, модель дома, текст отзыва, фотографии дома и, если на них есть люди, их изображения
- Основание
- Согласие на обработку, разрешённую субъектом для распространения (ст. 10.1)
- Срок
- До отзыва согласия или истечения указанного в нём срока
- Субъекты
- Посетители Сайта
- Состав данных
- IP-адрес; данные cookie; сведения о браузере, устройстве и экране; дата, время и длительность визита; просмотренные страницы, клики, прокрутка, заполнение полей форм (записи сервиса «Вебвизор»); источник перехода; идентификаторы рекламных переходов
- Основание
- Согласие субъекта (п. 1 ч. 1 ст. 6): посетитель уведомляется баннером cookie при первом посещении и может отказаться кнопкой «Отклонить», после чего сбор аналитики прекращается; для технических cookie — обеспечение работы Сайта
- Срок
- Сроки жизни cookie и хранения данных определяются сервисом аналитики (раздел 5)
- Субъекты
- Работники, бывшие работники, соискатели
- Состав данных
- ФИО, дата и место рождения, паспортные данные, адрес, СНИЛС, ИНН, сведения об образовании и трудовой деятельности, воинском учёте, семейном положении и детях, банковские реквизиты для зарплаты, сведения о состоянии здоровья в объёме, предусмотренном ТК РФ; у соискателей — данные резюме
- Основание
- Трудовой договор и требования ТК РФ, НК РФ, законодательства о страховании и воинском учёте (п. 2 и п. 5 ч. 1 ст. 6; гл. 14 ТК РФ); соискатели — согласие
- Срок
- Срок трудового договора и сроки хранения кадровых документов по приказу Росархива от 20.12.2019 № 236 (до 50/75 лет); резюме соискателей — не дольше 1 года
3.7.Персональные данные получаются непосредственно от субъектов. Если субъект сообщает данные третьего лица (например, получателя груза), он обязан получить согласие этого лица и уведомить его о настоящей Политике.
3.8.Файл выписки из ЕГРН и координаты границ участка, которые посетитель загружает в планировщик участка (karlab.ru/plan), обрабатываются только в браузере посетителя и на серверы Оператора не передаются; Оператор эти сведения не получает и оператором в отношении них не является.
4Порядок и условия обработки
4.1.Способы обработки: автоматизированная (с использованием средств вычислительной техники и информационных систем, перечисленных в п. 4.2) и неавтоматизированная (бумажные договоры и акты). Действия с данными: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление, доступ), блокирование, удаление, уничтожение. Распространение — только в случае п. 3.4.
4.2.Информационные системы и места хранения персональных данных: приёмник форм и раздел «Заявки» (Tilda CRM) платформы Tilda Publishing; электронная почта Оператора на платформе Яндекс 360; система amoCRM и подключённая к ней телефония Sipuni с записью разговоров (абонент уведомляется о записи голосовым сообщением в начале звонка); служебные учётные записи Оператора в мессенджерах Telegram и MAX; мобильный телефон менеджера; конфигуратор договора на закрытой паролем странице Сайта, формирующий PDF в браузере без передачи данных на сервер; рабочий компьютер Оператора (файлы договоров) и бумажный архив договоров и кадровых документов; Яндекс Метрика. Базы данных, с использованием которых осуществляются сбор, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации, находятся на территории Российской Федерации (ч. 5 ст. 18): данные форм Tilda хранятся в центрах обработки данных АО «Селектел» и ООО «Яндекс.Облако»; данные Яндекс Метрики и почты — в центрах обработки данных ООО «Яндекс»; данные amoCRM и Sipuni — в центрах обработки данных на территории Российской Федерации.
4.3.Оператор поручает обработку персональных данных следующим лицам на основании договоров (поручений), содержащих обязанности по соблюдению конфиденциальности и безопасности данных (ч. 3 ст. 6):
- Реквизиты
- ИНН 9707041449, 127051, г. Москва, Цветной бульвар, д. 21, стр. 1
- Что делает
- Хостинг Сайта, приём данных форм и их передача в подключённые сервисы, хранение заявок, статистика посещений (Tilda Stat)
- Где находится
- Россия
- Реквизиты
- ИНН 7736207543, 119021, г. Москва, ул. Льва Толстого, д. 16
- Что делает
- Корпоративная электронная почта (Яндекс 360 для бизнеса, по условиям оферты сервиса), веб-аналитика (Яндекс Метрика, счётчик № 112100659, включая Вебвизор), карта на странице контактов
- Где находится
- Россия
- Реквизиты
- ИНН 7709477879, ОГРН 5157746087681, 115093, г. Москва, ул. Люсиновская, д. 38
- Что делает
- Учёт заявок и сделок, история общения, хранение записей звонков в карточках сделок
- Где находится
- Россия
- Реквизиты
- Виртуальная АТС Sipuni (ПО в реестре российского ПО № 12081) и оператор связи
- Что делает
- Телефонная связь, запись и хранение разговоров (не дольше 6 месяцев), передача записей и данных о звонках в amoCRM
- Где находится
- Россия
- Что делает
- Защита Сайта от сетевых атак, технические cookie
__ddg* - Где находится
- Россия
4.4.Передача данных через мессенджеры. Коммерческое предложение и ответы на вопросы направляются в тот канал связи, который субъект сам выбрал в форме заявки (Telegram, MAX, телефонный звонок) или в котором обратился к Оператору. Серверы Telegram (Telegram FZ-LLC, ОАЭ) находятся за пределами Российской Федерации; выбирая этот канал, субъект инициирует передачу своих данных (имя, номер телефона, содержание переписки) этому сервису связи. Оператор направил в Роскомнадзор уведомление о трансграничной передаче персональных данных в связи с использованием Telegram. Оператор не использует WhatsApp и иные иностранные сервисы для хранения базы клиентов.
4.5.Третьи лица, получающие данные без поручения, в силу закона или договора с субъектом: транспортные компании, осуществляющие перевозку домокомплекта (имя, телефон и адрес получателя груза — в объёме, необходимом для доставки, на основании договора перевозки); банки (при безналичной оплате); налоговые и иные государственные органы по их законным запросам; организация, оказывающая Оператору бухгалтерские услуги по договору с условием о конфиденциальности (договоры и платёжные документы покупателей, кадровые данные работников); её наименование сообщается по запросу субъекта.
4.6.Оператор не передаёт персональные данные в государства, не обеспечивающие адекватную защиту прав субъектов, за исключением случая п. 4.4, когда передачу инициирует сам субъект выбором канала связи. При загрузке страниц Сайта браузер посетителя самостоятельно обращается к серверам сторонних сетей доставки контента (шрифты Google Fonts, библиотеки cdnjs.cloudflare.com и cdn.jsdelivr.net, изображения cdn.vseinstrumenti.ru на странице инструментов), которые получают IP-адрес и технические данные запроса; Оператор не передаёт этим сервисам сведения о субъекте и не получает от них данных о посетителях.
5Cookie и аналитика
5.1.Сайт использует cookie и аналогичные технологии (localStorage, sessionStorage). Технически необходимые cookie (защита от атак, работа форм, сохранение выбора в баннере cookie и настроек планировщика участка) используются без согласия, так как без них Сайт не работает. Аналитические cookie и запись сессий (Яндекс Метрика, Вебвизор, Tilda Stat) используются с первого посещения; при этом на каждой странице Сайта показывается баннер cookie с кнопками «Принять» и «Отклонить». Нажатие «Отклонить» означает отказ от аналитики: Яндекс Метрика на последующих страницах не запускается, её cookie удаляются, выбор хранится 1 год. Продолжение использования Сайта без отказа признаётся согласием на аналитические cookie. Посетитель может изменить выбор на этой странице, а также заблокировать cookie в настройках браузера или с помощью Блокировщика Яндекс Метрики. Перечень cookie, их назначение и сроки приведены в разделе «Cookie и аналитика» на этой странице.
5.2.Данные Яндекс Метрики агрегируются и используются для статистики и оценки рекламных кампаний в Яндекс Директе; Оператор не сопоставляет их с данными заявок, за исключением автоматической привязки идентификатора cookie к заявке приёмником форм Tilda.
6Согласие на обработку и его отзыв
6.1.Согласие на обработку данных, указанных в заявке, субъект выражает, отмечая чекбокс «Даю согласие на обработку персональных данных» и нажимая кнопку отправки формы; текст согласия размещён по адресу https://karlab.ru/consent и доступен по ссылке рядом с чекбоксом. Согласие на аналитические cookie выражается кнопкой «Принять» в баннере cookie. Согласие на распространение (публикацию отзыва) оформляется отдельным документом в соответствии с требованиями Роскомнадзора.
6.2.Согласие может быть отозвано в любое время письмом на kar.lab@yandex.ru с темой «Отзыв согласия на обработку персональных данных» или письмом на почтовый адрес Оператора. В обращении указываются фамилия, имя, отчество, номер телефона или адрес электронной почты, которые были сообщены Оператору, и суть требования. Оператор прекращает обработку и уничтожает данные в срок не более 30 дней с даты получения отзыва (ч. 5 ст. 21), если иное не предусмотрено законом или договором с субъектом.
6.3.После отзыва согласия Оператор вправе продолжить обработку без согласия в случаях, предусмотренных пп. 2–11 ч. 1 ст. 6 Закона о персональных данных: для исполнения заключённого договора, хранения бухгалтерских документов в установленные сроки, защиты прав Оператора в суде.
7Права субъектов персональных данных
7.1.Субъект вправе получить сведения, перечисленные в ч. 7 ст. 14 Закона о персональных данных: подтверждение факта обработки, правовые основания и цели, применяемые способы, наименование и место нахождения Оператора, сведения о лицах, имеющих доступ к данным, перечень обрабатываемых данных и источник их получения, сроки обработки и хранения, порядок осуществления прав, сведения о трансграничной передаче и о лицах, которым поручена обработка.
7.2.Субъект вправе требовать уточнения, блокирования или уничтожения данных, если они неполны, устарели, неточны, незаконно получены или не являются необходимыми для заявленной цели; отозвать согласие; обжаловать действия Оператора в уполномоченный орган по защите прав субъектов персональных данных — Роскомнадзор (rkn.gov.ru; территориальный орган — Управление по Уральскому федеральному округу, 66.rkn.gov.ru) или в суд; требовать возмещения убытков и компенсации морального вреда.
7.3.Запрос направляется на kar.lab@yandex.ru или почтовый адрес Оператора и должен содержать номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи и выдавшем органе, сведения, подтверждающие участие субъекта в отношениях с Оператором (номер телефона или e-mail из заявки, номер договора), либо иные сведения, подтверждающие факт обработки, и подпись (ч. 3 ст. 14). Запрос в электронной форме признаётся надлежащим, если он подписан электронной подписью или направлен с адреса (номера), ранее сообщённого Оператору, и содержит перечисленные сведения.
7.4.Оператор отвечает на запрос в течение 10 рабочих дней с даты обращения; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления (ч. 1 ст. 20). При выявлении неправомерной обработки данные блокируются на период проверки, неправомерная обработка прекращается в течение 3 рабочих дней, а если обеспечить правомерность невозможно — данные уничтожаются в течение 10 рабочих дней с даты выявления (чч. 1, 3 ст. 21); неточные данные уточняются в течение 7 рабочих дней после получения подтверждающих сведений (ч. 2 ст. 21).
8Сроки обработки и уничтожение
8.1.Сроки хранения указаны в разделе 3. Обработка прекращается по достижении цели, при отзыве согласия, при выявлении неправомерной обработки и по истечении срока хранения.
8.2.Данные заявок, по которым договор не заключён, удаляются из amoCRM, почты, чатов и раздела «Заявки» Tilda не позднее 1 года с даты последнего контакта; при признании обращения нецелевым («не наш клиент») — не позднее 30 дней.
8.3.Уничтожение оформляется актом, а при уничтожении в информационной системе — актом и выгрузкой из журнала регистрации событий, в соответствии с приказом Роскомнадзора от 28.10.2022 № 179; документы об уничтожении хранятся 3 года.
9Меры по обеспечению безопасности
9.1.Организационные: ответственным за организацию обработки персональных данных является индивидуальный предприниматель Шуткин Максим Эдуардович лично; утверждены настоящая Политика, Положение о персональных данных работников, перечень лиц, допущенных к обработке (доступ к заявкам и базе клиентов имеют только Оператор и менеджер по работе с клиентами), перечень информационных систем персональных данных и инструкция по обработке; работники и партнёры, имеющие доступ к данным, ознакомлены с Политикой и обязательствами о неразглашении; определён уровень защищённости информационных систем (постановление Правительства РФ от 01.11.2012 № 1119) и выбраны меры по приказу ФСТЭК России от 18.02.2013 № 21; проводится внутренний контроль соответствия обработки требованиям закона не реже одного раза в год; оценён вред, который может быть причинён субъектам (приказ Роскомнадзора от 27.10.2022 № 178).
9.2.Технические: доступ к Сайту, Tilda, amoCRM, почте и мессенджерам — по индивидуальным учётным записям с двухфакторной аутентификацией; доступ к конфигуратору договоров — по паролю, файлы договоров хранятся на рабочем компьютере с паролем на вход; записи телефонных разговоров доступны только в amoCRM; передача данных форм только по HTTPS; разграничение прав доступа в amoCRM; антивирусная защита рабочих мест; резервное копирование у поставщиков сервисов; защита Сайта от атак и спама средствами платформы Tilda; хранение бумажных договоров в запираемом помещении; уничтожение данных с носителей при их списании.
9.3.При выявлении неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных Оператор в течение 24 часов уведомляет Роскомнадзор об инциденте, а в течение 72 часов — о результатах внутреннего расследования и принятых мерах (ч. 3.1 ст. 21), и взаимодействует с ГосСОПКА в установленном порядке.
10Заключительные положения
10.1.Политика пересматривается при изменении законодательства, состава сервисов или процессов обработки, но не реже одного раза в год. Новая редакция публикуется на Сайте с указанием даты вступления в силу; при существенных изменениях Оператор уведомляет субъектов, чьи данные обрабатывает по согласию, по указанным ими контактам.
10.2.Сведения о реализуемых требованиях к защите персональных данных, предусмотренные ч. 2 ст. 18.1 Закона, содержатся в разделе 9 настоящей Политики и считаются опубликованными вместе с ней.
10.3.Вопросы, жалобы и запросы по персональным данным принимаются по адресу kar.lab@yandex.ru, по телефону +7 982 696-90-89 в рабочее время (Пн–Пт 10:00–17:00 по Екатеринбургу) и по почтовому адресу Оператора.