Политика обработки персональных данных

Общие положения
1. Настоящая Политика обработки персональных данных (далее – «Политика») разработана во исполнение требований Федерального закона от 27.07.2006 № 152ФЗ «О персональных данных» (далее – «Закон о персональных данных») и иных нормативных правовых актов Российской Федерации в области обработки и защиты персональных данных.
2. Политика определяет порядок обработки персональных данных (далее – «ПД») и меры по обеспечению безопасности ПД, которые принимает Ассоциация экспортеров и импортеров (далее – «Оператор», «Ассоциация»), и действует в отношении всех ПД, которые Оператор может получить от субъектов ПД при использовании сайта, расположенного в сети Интернет по адресу: https://exporterimporter.ru/ (далее – «Сайт»), а также при направлении заявок, запросов, обращений и иных формах взаимодействия с Оператором.

Политика является общедоступным документом, размещённым на Сайте по постоянному адресу: https://exporterimporter.ru/privacy/. Оператор вправе вносить изменения в Политику с последующей публикацией новой версии.

Термины, используемые в настоящей Политике, толкуются в соответствии с Законом о персональных данных, а также с учётом сложившейся практики их применения.
Обработка ПД осуществляется Оператором на законной и справедливой основе, с соблюдением конфиденциальности и обеспечением безопасности ПД.

Права и обязанности субъектов персональных данных и оператора
1. Субъект персональных данных имеет право:
  1. На получение информации, касающейся обработки его ПД, в порядке и объёме, предусмотренных ст. 14 Закона о персональных данных, в том числе:

подтверждение факта обработки ПД оператором;
правовые основания и цели обработки ПД;
цели и применяемые оператором способы обработки ПД;
наименование и место нахождения оператора, сведения о лицах (за исключением работников оператора), которые имеют доступ к ПД или которым могут быть раскрыты ПД на основании договора с оператором или на основании федерального закона;
обрабатываемые ПД, относящиеся к соответствующему субъекту, источник их получения;
сроки обработки ПД, в том числе сроки их хранения;
порядок осуществления субъектом ПД прав, предусмотренных Законом о персональных данных;
информацию об осуществлённой или о предполагаемой трансграничной передаче данных;
наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПД по поручению оператора;
иные сведения, предусмотренные Законом о персональных данных или другими федеральными законами.

Требовать от оператора уточнения его ПД, их блокирования или уничтожения в случае, если ПД являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки.
Отозвать согласие на обработку ПД в любое время, направив письменное уведомление оператору. При отзыве согласия оператор обязан прекратить обработку и уничтожить ПД в срок, не превышающий 30 дней, если иное не предусмотрено договором или законом.
Обжаловать действия или бездействие оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке.
На возмещение убытков и (или) компенсацию морального вреда в судебном порядке, если они причинены нарушением его прав при обработке ПД.
На иные права, предусмотренные Законом о персональных данных и другими федеральными законами.

Субъект персональных данных обязан:
1. Предоставлять оператору достоверные и актуальные ПД.
2. Своевременно уведомлять оператора об изменении своих ПД (в разумный срок, не превышающий 5 рабочих дней с даты изменения).
3. Не предоставлять ПД третьих лиц без их согласия, если иное не предусмотрено законом.
4. Ознакомиться с условиями настоящей Политики до момента предоставления ПД.

Оператор имеет право:
1. Обрабатывать ПД в соответствии с целями, определёнными настоящей Политикой и Приложением № 1.
2. Поручать обработку ПД другому лицу с соблюдением требований ст. 6 Закона о персональных данных (заключение договора поручения, включение обязательных условий о конфиденциальности и безопасности).
3. Запрашивать у субъекта ПД дополнительные сведения для подтверждения достоверности ПД или для идентификации субъекта при обращении с запросом.
4. Отказать субъекту в выполнении повторного запроса о предоставлении ПД, если такой запрос не соответствует условиям, предусмотренным ч. 4–5 ст. 14 Закона о персональных данных (повторный запрос ранее чем через 30 дней при отсутствии полного ответа на первый запрос).
5. Осуществлять обработку ПД без согласия субъекта при наличии оснований, указанных в п. 2–11 ч. 1 ст. 6, ч. 2 ст. 10 и ч. 2 ст. 11 Закона о персональных данных.

Оператор обязан:
1. Обрабатывать ПД только при наличии законных оснований и в строгом соответствии с целями, определёнными настоящей Политикой.
2. Получать согласие субъекта ПД на обработку, за исключением случаев, когда такое согласие не требуется в соответствии с Законом о персональных данных.
3. Обеспечивать безопасность ПД при их обработке, принимать необходимые правовые, организационные и технические меры для защиты ПД от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения.
4. Предоставлять субъекту ПД информацию о наличии его ПД, а также возможность ознакомления с ними в течение 10 рабочих дней с даты получения запроса. Указанный срок может быть продлён, но не более чем на 5 рабочих дней, с обязательным мотивированным уведомлением субъекта.
5. Уточнять, блокировать или уничтожать ПД в установленные Законом о персональных данных сроки:

при достижении цели обработки – прекратить обработку и уничтожить ПД в течение 30 дней;
при отзыве согласия – прекратить обработку и уничтожить ПД в течение 30 дней;
при выявлении неправомерной обработки – прекратить её в течение 3 дней, а если правомерность обеспечить невозможно – уничтожить ПД в течение 10 дней;
при выявлении неточных ПД – уточнить их в течение 7 рабочих дней.

Направить уведомление в Роскомнадзор о намерении осуществлять обработку ПД, за исключением случаев, когда такое уведомление не требуется (ч. 2 ст. 22 Закона о персональных данных).
При сборе ПД граждан РФ обеспечить запись, систематизацию, накопление, хранение, уточнение, извлечение ПД с использованием баз данных, находящихся на территории РФ (ч. 5 ст. 18 Закона о персональных данных).
В случае утечки ПД (неправомерной или случайной передачи) уведомить Роскомнадзор в течение 24 часов, а в течение 72 часов представить результаты внутреннего расследования (ч. 3.1 ст. 21 Закона о персональных данных).

Принципы обработки персональных данных

Оператор руководствуется следующими принципами:

Законность и справедливость – обработка ПД осуществляется на законных основаниях, без нарушения прав субъектов.
Ограничение цели – обработка ПД ограничивается достижением конкретных, заранее определённых и законных целей. Не допускается обработка ПД, несовместимая с целями их сбора.
Соответствие содержания и объёма – обрабатываются только те ПД, которые отвечают целям их обработки. Обрабатываемые ПД не должны быть избыточными по отношению к заявленным целям.
Точность и актуальность – оператор принимает необходимые меры по удалению или уточнению неполных или неточных ПД.
Срок хранения – ПД хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки (если срок не установлен законом или договором). По достижении целей обработки или при утрате необходимости ПД уничтожаются либо обезличиваются.
Недопустимость объединения баз данных – не допускается объединение баз данных, содержащих ПД, обработка которых осуществляется в целях, несовместимых между собой.

Цели обработки персональных данных, категории субъектов, перечни обрабатываемых персональных данных, сроки обработки
1. Перечень целей обработки, категорий субъектов, персональных данных, сроков обработки и правовых оснований приведён в Приложении № 1 к настоящей Политике, которое является её неотъемлемой частью.
2. В общем виде Оператор осуществляет обработку ПД для следующих целей:

рассмотрение первичных обращений;
рассмотрение заявок на партнерство;
предоставление ответов на вопросы пользователей;
организация аккредитации представителей СМИ;
информационная и (или) рекламная рассылка (только при отдельном предварительном согласии);
обеспечение функционирования Сайта, сбор статистики и улучшение работы с помощью файлов cookie;

Порядок и условия обработки персональных данных
1. Получение персональных данных
  1. Оператор получает ПД непосредственно от субъекта ПД при:

заполнении электронных форм на Сайте (заявка на участие, заявка на партнерство, форма вопроса, аккредитация СМИ, подписка на рассылку);
направлении обращений по электронной почте на адреса Оператора;
предоставлении ПД через телефонную связь (только для идентификации при последующем обращении).

Согласие на обработку ПД оформляется в соответствии со ст. 9 Закона о персональных данных:

согласие даётся отдельно от иных документов и информации (отдельный блок на Сайте);
в тексте согласия указываются: цель обработки, перечень ПД, наименование оператора, перечень действий с ПД, срок действия согласия и способ отзыва;
форма согласия включает чекбокс, который пользователь должен активно отметить; кнопка отправки формы активна только после отметки чекбокса.

При получении ПД от третьих лиц Оператор дополнительно проверяет наличие законных оснований для такой передачи. Предоставляя ПД третьих лиц, субъект гарантирует, что он получил их согласие на обработку.

Хранение персональных данных
1. ПД хранятся на бумажных носителях (при наличии) и в электронном виде в информационных системах персональных данных (ИСПДн) Оператора.
2. Электронные базы данных размещаются на серверах, расположенных на территории Российской Федерации (физический адрес датацентра: г. Москва, ул.Станиславского, д.22, стр.2, офис 39).
3. Доступ к ПД имеют только уполномоченные сотрудники Оператора, для которых работа с ПД необходима для выполнения трудовых (служебных) обязанностей. Перечень таких лиц утверждается руководителем Оператора.
4. Бумажные носители ПД хранятся в запираемых шкафах (сейфах) в помещениях с ограниченным доступом. Учёт бумажных носителей ведётся в специальном журнале.

Использование персональных данных

5.3.1. Использование ПД ограничивается целями, указанными в Приложении № 1.

5.3.2. При автоматизированной обработке ПД оператор обеспечивает:

регистрацию и учёт всех действий с ПД в ИСПДн;
разграничение прав доступа на основе ролевой модели;
применение парольной политики;
защиту каналов передачи данных (использование протокола HTTPS).

5.3.3. Обработка ПД без использования средств автоматизации осуществляется в соответствии с требованиями, установленными Правительством РФ (Постановление от 15.09.2008 № 687).

Передача и поручение обработки персональных данных
1. 5.4.1.Оператор не раскрывает ПД третьим лицам без согласия субъекта, за исключением случаев, предусмотренных законодательством РФ (например, по требованию суда, правоохранительных органов).
2. 5.4.2.В случае привлечения третьих лиц для обработки ПД (например, ITпровайдера, сервиса электронной почты) оператор заключает с таким лицом договор поручения, в котором обязательно указываются:

перечень ПД;
перечень действий (операций) с ПД;
цели обработки;
обязанность соблюдать конфиденциальность;
требования к защите ПД в соответствии со ст. 19 Закона о персональных данных;
обязанность уведомлять оператора об инцидентах (ч. 3.1 ст. 21).

Оператор вправе передавать ПД в обезличенном виде для статистических исследований без согласия субъекта, если это не нарушает его права.
В целях автоматизации обработки обращений, хранения данных и ведения CRM-учета, Оператор поручает обработку ПД (имя, фамилия, отчество, телефон, e-mail, должность, название компании, вид деятельности, адрес сайта компании) ООО «1С-Битрикс» (ОГРН 5077746476209, адрес: 109544, г. Москва, б-р Энтузиастов, д. 2, эт. 13, пом. 8-19). Обработка осуществляется с использованием программного обеспечения «1С-Битрикс24» в целях обеспечения оперативного взаимодействия с субъектами ПД, ведения истории обращений и подготовки ответов на запросы.

Обезличивание персональных данных
1. Для статистических или иных исследовательских целей оператор вправе осуществлять обезличивание ПД методами, установленными уполномоченным органом (Приказ Роскомнадзора от 05.09.2013 № 996).
2. Обезличенные ПД не позволяют определить принадлежность данных конкретному субъекту без использования дополнительной информации.

Уничтожение персональных данных
1. Уничтожение ПД осуществляется в следующих случаях:

достижение цели обработки;
отзыв согласия субъектом;
истечение срока обработки, установленного в Приложении № 1;
выявление неправомерной обработки, которую невозможно устранить.

Сроки уничтожения:

при отзыве согласия или достижении цели – в течение 30 дней;
при выявлении неправомерной обработки – в течение 10 дней (если правомерность обеспечить невозможно);
если немедленное уничтожение невозможно – блокирование и уничтожение в течение 6 месяцев.

Уничтожение ПД на бумажных носителях производится путём измельчения (шредер) или сжигания. Электронные ПД уничтожаются методами, исключающими возможность восстановления (перезапись, физическое разрушение носителя).
Факт уничтожения подтверждается актом, который хранится в архиве оператора не менее 3 лет.

Использование файлов cookie и сервисов вебаналитики
1. 6.1.Цели использования файлов cookie

Сайт использует файлы cookie для следующих целей:

техническое обеспечение работы Сайта (сохранение сессии, настроек);
сбор статистики посещаемости (Яндекс.Метрика);
улучшение навигации и пользовательского опыта;
проведение маркетинговых исследований (при наличии отдельного согласия).

6.2.Виды собираемой информации

С помощью файлов cookie могут обрабатываться:

IPадрес;
тип браузера и устройства, операционная система;
дата и время посещения Сайта;
просмотренные страницы, клики;
информация о реферере (откуда перешёл пользователь).

6.3.Перечень используемых файлов cookie

Необходимые (технические) cookie – обеспечивают корректное отображение Сайта, сохранение выбранных настроек. Не требуют согласия.
Сессионные cookie – временные, удаляются после закрытия браузера.
Постоянные (перманентные) cookie – сохраняются на устройстве до истечения срока или удаления.
Статистические cookie (Яндекс.Метрика) – собирают обезличенную информацию о посещениях.
Маркетинговые и поведенческие cookie – используются только при активном согласии пользователя.

6.4.Согласие на использование файлов cookie
1. 6.4.1.При первом посещении Сайта пользователю отображается баннер с информацией о типах используемых cookie и целях их обработки.
2. 6.4.2.Для обработки необязательных (аналитических, маркетинговых) cookie требуется активное согласие пользователя. Согласие выражается путём нажатия на кнопку «Принять» или совершения иного явного действия в интерфейсе баннера. Молчание или бездействие пользователя (в том числе продолжение использования Сайта) не может считаться согласием (ч. 8 ст. 10.1 Закона о персональных данных).
3. 6.4.3.Пользователь вправе отказаться от обработки необязательных cookie, выбрав соответствующую опцию в баннере. Технически необходимые cookie обрабатываются без согласия, так как без них невозможна работа Сайта.
4. 6.4.4.Пользователь может в любой момент изменить настройки cookie в браузере или отозвать согласие через специальный интерфейс на Сайте (при его наличии).

Защита персональных данных

Оператор принимает необходимые правовые, организационные и технические меры для обеспечения безопасности ПД.

Правовые меры

разработка и утверждение локальных актов по обработке и защите ПД (Политика, порядок уничтожения, инструкции для сотрудников);
назначение лица, ответственного за организацию обработки ПД, и лица, ответственного за обеспечение безопасности ПД в ИСПДн;
включение в трудовые договоры с сотрудниками, имеющими доступ к ПД, обязательств о неразглашении;
проведение внутреннего контроля и аудита соответствия обработки ПД требованиям законодательства.

Организационные меры

ограничение состава сотрудников, допущенных к ПД;
организация пропускного режима в помещения, где находятся носители ПД;
учёт машинных носителей ПД;
проведение инструктажей и обучение сотрудников правилам работы с ПД;
утверждение перечня лиц, имеющих доступ к ПД;
проведение проверок не реже 1 раза в 3 года (в том числе с привлечением лицензированной организации).

Технические меры

использование сертифицированных средств защиты информации (при необходимости, в зависимости от уровня защищённости ИСПДн);
применение антивирусного программного обеспечения;
использование межсетевых экранов и систем обнаружения вторжений;
регистрация событий безопасности в ИСПДн (логирование доступа к ПД);
контроль целостности программного обеспечения;
резервное копирование ПД с восстановлением в случае сбоев;
защита каналов связи (HTTPS, шифрование);
назначение сложных паролей для доступа к базам данных, регулярная смена паролей.

Актуализация, исправление, удаление и уничтожение персональных данных. Реагирование на запросы субъектов
1. Субъект ПД имеет право направить оператору запрос о предоставлении информации, касающейся обработки его ПД, либо требование об уточнении, блокировании или уничтожении своих ПД.
2. Запрос должен содержать:

фамилию, имя, отчество субъекта ПД;
номер основного документа, удостоверяющего личность, сведения о дате выдачи и выдавшем органе;
сведения, подтверждающие участие субъекта в отношениях с оператором (например, дата заполнения формы, номер заявки);
подпись субъекта или его представителя (для запроса на бумажном носителе).

Запрос может быть направлен:

по электронной почте на адрес: info@exporterimporter.ru (с темой «Запрос по ПД»);
почтовым отправлением по адресу: г. Москва, ул.Станиславского, д.22, стр.2, офис 39.

Срок рассмотрения запроса – 10 рабочих дней с даты его получения. Указанный срок может быть продлён, но не более чем на 5 рабочих дней, с направлением мотивированного уведомления субъекту.
При отзыве согласия оператор прекращает обработку и уничтожает ПД в течение 30 дней с даты получения отзыва. О проделанной работе оператор уведомляет субъекта.
При достижении цели обработки или истечении установленного срока хранения ПД уничтожаются в течение 30 дней.
В случае выявления неправомерной обработки ПД оператор:

блокирует ПД на период проверки;
в течение 3 дней прекращает неправомерную обработку;
если правомерность обеспечить невозможно – уничтожает ПД в течение 10 дней;
уведомляет субъекта об устранении нарушения или об уничтожении.

В случае утечки ПД (неправомерная или случайная передача) оператор обязан:

в течение 24 часов уведомить Роскомнадзор (инцидент, предполагаемые причины, принятые меры);
в течение 72 часов предоставить результаты внутреннего расследования.

Ответственность за нарушение требований законодательства о персональных данных
1. Лица, виновные в нарушении требований Закона о персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации (административную, гражданско-правовую, уголовную).
2. Субъект ПД вправе обжаловать действия или бездействие оператора в Роскомнадзор или в суд.
3. Моральный вред, причинённый субъекту вследствие нарушения его прав, подлежит возмещению в соответствии с законодательством РФ, независимо от возмещения имущественного вреда.

Изменение Политики
1. Оператор вправе вносить изменения в настоящую Политику. Новая редакция Политики вступает в силу с момента её размещения на Сайте, если иной срок не указан в публикации.
2. Обязательный пересмотр Политики проводится в случае изменения законодательства Российской Федерации о персональных данных или существенного изменения процессов обработки ПД у оператора.
3. Пользователи Сайта считаются уведомлёнными об изменениях с момента публикации новой версии Политики.

Контактная информация оператора

Полное наименование: Ассоциация экспортеров и импортеров (АЭИ)
Сокращённое наименование: АЭИ
Юридический адрес: г. Москва, ул.Станиславского, д.22, стр.2, офис 39.
Фактический адрес (для отправки запросов): г. Москва, ул.Станиславского, д.22, стр.2, офис 39
ИНН: 9709054732
КПП: 770901001
ОГРН: 1197700014500
Адрес электронной почты: info@exporterimporter.ru
Телефон: +7 495 088 00 80
Адрес сайта: https://exporterimporter.ru/

Приложение № 1

к Политике обработки персональных данных Ассоциации экспортеров и импортеров

Цели, категории субъектов, перечень персональных данных, сроки обработки и правовые основания

№	Цель обработки	Категория субъектов	Перечень персональных данных	Срок обработки	Правовое основание
1	Рассмотрение первичной заявки	Представители компаний – участников	Фамилия, имя, отчество (при наличии), телефон, адрес электронной почты, наименование организации, должность, официальный сайт, основной вид деятельности; (может содержать любые ПД, которые пользователь укажет добровольно)	5 лет с даты подачи заявки, но не дольше чем до отзыва согласия (если отзыв не противоречит договорным отношениям)	Согласие субъекта (п. 1 ч. 1 ст. 6), а также исполнение договора (п. 5 ч. 1 ст. 6)
2	Рассмотрение заявки на партнерство	Представители потенциальных партнёров (юридических лиц или ИП)	Фамилия, имя, отчество (при наличии), телефон, адрес электронной почты, наименование организации, должность, официальный сайт, основной вид деятельности; (может содержать любые ПД, которые пользователь укажет добровольно)	5 лет или до отзыва согласия	Согласие субъекта (п. 1 ч. 1 ст. 6)
3	Ответ на вопрос пользователя	Пользователи Сайта, задающие вопросы	Фамилия, имя, отчество (при наличии), телефон, адрес электронной почты, наименование организации, должность, официальный сайт, основной вид деятельности; (может содержать любые ПД, которые пользователь укажет добровольно)	1 год с даты ответа на вопрос (после чего вопрос и ответ обезличиваются или уничтожаются)	Согласие субъекта (п. 1 ч. 1 ст. 6)
4	Информационная и рекламная рассылка (новости форума, выгодные предложения)	Пользователи, подписавшиеся на рассылку через отдельную форму	Адрес электронной почты	До момента отзыва согласия	Предварительное согласие (ст. 15 Закона о персональных данных)
5	Статистика посещаемости Сайта, улучшение пользовательского опыта (аналитические cookie)	Все посетители Сайта	IP-адрес; тип браузера и устройства; операционная система; дата и время посещения; просмотренные страницы; клики; реферер	В соответствии со сроком хранения конкретной cookie (обычно до 2 лет) или до отзыва согласия на cookie	Согласие через cookieбаннер (п. 1 ч. 1 ст. 6)
6	Обеспечение технического функционирования Сайта (необходимые cookie)	Все посетители Сайта	Идентификаторы сессии, языковые настройки, настройки отображения	Сессионно или до истечения срока технической необходимости	Обработка технически необходима для предоставления доступа к Сайту – п. 5 ч. 1 ст. 6 (исполнение договора)

Подписаться на новости