Политика в отношении обработки и защиты персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок обработки и защиты персональных данных при использовании сайта kkizhevsk.ru (далее — Сайт).

1.2. Оператор персональных данных: Кашеваров Дмитрий Олегович, физическое лицо, самостоятельно определяющее цели обработки персональных данных, состав обрабатываемых персональных данных и действия, совершаемые с ними. Оператор является Старшим пастором (представителем) религиозной группы христиан веры евангельской Церковь «Краеугольный камень» город Ижевск.

Религиозная группа не имеет статуса юридического лица и не является оператором персональных данных. Указание её наименования описывает деятельность, в связи с которой действует Оператор, и не заменяет сведения об Операторе.

Адрес Оператора: г. Ижевск, ул. Пушкинская, д. 223, офис 233.

Электронная почта по вопросам обработки персональных данных: info@kkizhevsk.ru. Номер регистрации религиозной группы в Минюсте России: 1818010004. Регистрирующий орган: Минюст России по Удмуртской Республике.

1.3. Политика применяется к персональным данным:

• посетителей Сайта;
• лиц, направляющих через Сайт организационные обращения, вопросы или заявки на первое посещение;
• лиц, обращающихся к Оператору по вопросам обработки персональных данных.

1.4. Политика не регулирует самостоятельную обработку данных третьими лицами на сайтах, на которые посетитель переходит по внешним ссылкам. До перехода посетителю рекомендуется ознакомиться с документами соответствующего третьего лица.

1.5. Политика размещается в свободном доступе на Сайте и доступна на каждой странице, с которой осуществляется сбор персональных данных.

2. Законодательство и правовые основания

2.1. Оператор руководствуется Конституцией Российской Федерации, Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Федеральным законом от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации», постановлением Правительства Российской Федерации от 15.09.2008 № 687, постановлением Правительства Российской Федерации от 01.11.2012 № 1119 и иными применимыми нормативными правовыми актами Российской Федерации.

2.2. В зависимости от цели правовыми основаниями обработки являются:

• отдельное согласие субъекта персональных данных, оформленное в форме, позволяющей подтвердить факт его получения;
• необходимость обработки для исполнения обязанностей Оператора, установленных законом;
• необходимость обработки для осуществления прав и законных интересов Оператора или третьих лиц, если при этом не нарушаются права и свободы субъекта;
• иные основания, прямо предусмотренные законодательством Российской Федерации.

2.3. Согласие на обработку персональных данных оформляется отдельно от иных информации и документов, которые подтверждает или подписывает субъект. Ознакомление с Политикой само по себе не является согласием.

3. Принципы обработки

3.1. Обработка осуществляется законно, справедливо и только для конкретных, заранее определённых и законных целей.

3.2. Содержание и объём данных соответствуют заявленным целям. Избыточные данные не собираются.

3.3. Базы данных, содержащие персональные данные, обрабатываемые в несовместимых целях, не объединяются.

3.4. Оператор принимает необходимые меры для обеспечения точности и актуальности данных и удаляет или уточняет неполные либо неточные данные.

3.5. Данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки или закон.

3.6. По достижении цели либо при утрате необходимости в её достижении данные уничтожаются или обезличиваются, если закон не требует иного.

3.7. Оператор не публикует персональные данные посетителей и не предоставляет их неопределённому кругу лиц. Согласие на распространение персональных данных на Сайте не запрашивается.

4. Специальные категории, биометрические данные и молитвенные просьбы

4.1. Оператор не осуществляет через Сайт целенаправленный сбор и обработку специальных категорий персональных данных, касающихся расовой или национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья либо интимной жизни.

4.2. Формы Сайта предназначены только для организационных вопросов, записи перед первым посещением и обратной связи, не требующей сообщения специальных категорий данных. В форме и непосредственно перед полем свободного текста размещается предупреждение:

Не указывайте сведения о здоровье, диагнозах, лечении, религиозных или философских убеждениях, интимной жизни, политических взглядах, расовой или национальной принадлежности, а также персональные данные других людей. Молитвенные просьбы через эту форму не принимаются.

4.3. Если специальные категории данных либо не имеющие законного основания персональные данные другого лица поступят вопреки предупреждению, Оператор:

1. немедленно ограничивает к ним доступ и не использует их для ответа по существу;
2. прекращает неправомерную обработку в срок, установленный законом;
3. если сделать обработку правомерной невозможно, уничтожает данные в срок, не превышающий 10 рабочих дней с даты выявления неправомерной обработки;
4. фиксирует уничтожение в предусмотренной законом форме без переноса содержания таких сведений в журнал.

4.4. До уничтожения допускаются только действия, объективно необходимые для изоляции, информационной безопасности, исполнения требования закона и подтверждения уничтожения. Такие сведения не направляются служителям, волонтёрам, в мессенджеры, аналитические сервисы или иные системы.

4.5. Оператор не обрабатывает биометрические персональные данные для установления личности и не принимает решения, порождающие юридические последствия для субъекта, исключительно на основании автоматизированной обработки.

4.6. Посещение Сайта или просмотр материалов религиозной тематики не используется Оператором для вывода о религиозных убеждениях конкретного посетителя, формирования религиозного профиля либо сегментации посетителей по таким убеждениям.

5. Цели, данные, основания и сроки

5.2. Поле свободного текста не предназначено для сбора неограниченного состава данных. Оператор обрабатывает только сведения, объективно необходимые для заявленной организационной цели.

5.3. Если обращение завершено раньше предельного срока, данные уничтожаются после достижения цели, если их дальнейшее хранение не требуется законом или для разрешения уже возникшего спора.

5.4. Резервные копии перезаписываются в соответствии с документированным циклом резервного копирования. До перезаписи удалённые данные не восстанавливаются для обычной деятельности и могут быть восстановлены только при аварии, после чего к ним повторно применяются сроки удаления.

6. Действия и способы обработки

6.1. Оператор может осуществлять сбор, запись, систематизацию, накопление, хранение, уточнение, извлечение, использование, предоставление доступа уполномоченным лицам, передачу лицу, обрабатывающему данные по поручению Оператора, блокирование, удаление и уничтожение данных.

6.2. Обработка осуществляется с использованием средств автоматизации и смешанным способом. Неавтоматизированная обработка применяется к обращениям и документам, если это необходимо для ответа, исполнения запроса или выполнения обязанности по закону.

6.3. Распространение, продажа данных и их предоставление неопределённому кругу лиц не осуществляются.

7. Лица, участвующие в обработке

7.1. Доступ к обращениям предоставляется только уполномоченным лицам, которым он необходим для конкретной организационной задачи и которые приняли обязательство конфиденциальности.

7.2. Для размещения Сайта, базы данных, резервного копирования и работы электронной почты обработка может быть поручена ООО «Бегет» (ОГРН 1077847645590, ИНН 7801451618), юридический адрес: 195112, г. Санкт-Петербург, пл. Карла Фаберже, д. 8Б, офис 726А.

7.3. Для защиты форм от автоматизированных запросов используется ООО «Яндекс.Облако» (ОГРН 1187746678580, ИНН 7704458262), адрес: 119021, г. Москва, ул. Льва Толстого, д. 16, помещение 528. Yandex SmartCaptcha получает параметры HTTP-запроса и технические данные устройства и взаимодействия, необходимые для определения, отправлен ли запрос человеком. Текст обращения и контактные данные не должны передаваться сервису в параметрах настройки.

7.4. При наличии единого предварительного согласия используются сервисы «Яндекс.Метрика», функция «Вебвизор» и встроенная «Яндекс.Карта», предоставляемые ООО «ЯНДЕКС» (ОГРН 1027700229193, ИНН 7736207543), адрес: 119021, Россия, г. Москва, ул. Льва Толстого, д. 16. Метрика, Вебвизор и встроенная карта включаются и отключаются вместе; Вебвизор технически не запускается на страницах с формами, юридическими документами и в административном интерфейсе. Содержимое полей форм, контактные данные и специальные категории персональных данных в Метрику и Вебвизор не передаются.

7.5. Поручение обработки оформляется договором, приложением, условиями сервиса или иным документом, который содержит требования части 3 статьи 6 Федерального закона № 152-ФЗ. Оператор до начала обработки и в течение срока поручения вправе запрашивать подтверждение соблюдения этих требований.

7.6. Передача государственным органам производится только в случаях и порядке, установленных законодательством Российской Федерации, и только в требуемом объёме.

8. Локализация и трансграничная передача

8.1. При сборе персональных данных граждан Российской Федерации запись, систематизация, накопление, хранение, уточнение и извлечение осуществляются с использованием баз данных, находящихся на территории Российской Федерации, кроме прямо предусмотренных законом случаев.

8.2. Оператор проверяет место размещения основной базы, файлов, почты и резервных копий, а также условия привлечённых сервисов и соответствие фактической обработки уведомлению Роскомнадзора.

8.3. Трансграничная передача персональных данных Оператором не осуществляется. До подключения сервиса, способного повлечь такую передачу, Оператор выполняет требования статьи 12 Федерального закона № 152-ФЗ и обновляет Политику и необходимые уведомления.

9. Cookie и аналитика

9.1. Технически необходимые cookie используются для работы, безопасности, сохранения пользовательского выбора и защиты форм. Они не применяются для рекламы или составления профиля посетителя.

9.2. Яндекс.Метрика, Вебвизор и встроенная Яндекс.Карта являются необязательными технологиями и запускаются только после единого предварительного согласия. Согласие предоставляется нажатием единственной кнопки «Согласен» на плашке cookie. Продолжение просмотра, закрытие уведомления, молчание или отсутствие выбора не являются согласием.

9.3. Метрика и Вебвизор объединены в одно согласие и не выбираются раздельно. Тем же действием посетитель разрешает загрузку встроенной Яндекс.Карты. До положительного выбора эти сервисы не загружаются. Отказ от нажатия кнопки не ограничивает основные функции Сайта: адрес и внешняя ссылка для построения маршрута доступны без согласия.

9.4. Вебвизор после согласия может фиксировать отображение разрешённых публичных страниц, движения указателя, нажатия, прокрутку, изменение размера окна и последовательность взаимодействия с элементами. Вебвизор не запускается на страницах с формами ввода, юридическими документами, в административном интерфейсе и на иных страницах, способных содержать персональные данные. Запись содержимого полей ввода запрещена техническими настройками. В адреса страниц, заголовки, параметры событий и UTM-метки не включаются персональные данные.

9.5. Единое согласие можно отозвать через постоянно доступную кнопку «Настройки cookie». При действующем согласии плашка показывает единственную кнопку «Отозвать согласие». После отзыва прекращаются вся аналитика, запись новых сеансов Вебвизора и загрузка встроенной карты; доступные Сайту аналитические cookie удаляются, а новый сбор не начинается без нового согласия.

10. Права субъекта

10.1. Субъект вправе:

• получить сведения об обработке своих персональных данных в объёме, предусмотренном законом;
• требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или ненужных данных;
• отозвать согласие;
• требовать прекращения обработки в предусмотренных законом случаях;
• обжаловать действия или бездействие Оператора в Роскомнадзор или суд;
• осуществлять иные права, предусмотренные законодательством Российской Федерации.

10.2. Запрос направляется на info@kkizhevsk.ru либо по адресу Оператора. Запрос должен содержать сведения, позволяющие подтвердить личность и факт отношений с Оператором, описание требования и подпись заявителя или его представителя. Полномочия представителя подлежат подтверждению.

10.3. Оператор отвечает и исполняет требования в сроки, установленные Федеральным законом № 152-ФЗ. Требование о прекращении обработки исполняется не позднее 10 рабочих дней с возможным продлением не более чем на 5 рабочих дней при направлении мотивированного уведомления. При отзыве согласия или достижении цели данные уничтожаются не позднее 30 дней, если отсутствует иное законное основание.

10.4. Для поиска записи Оператор вправе запросить только необходимые идентифицирующие сведения. Копия документа, удостоверяющего личность, запрашивается лишь тогда, когда без неё невозможно надёжно установить заявителя.

11. Уничтожение данных

11.1. Данные уничтожаются при достижении цели, истечении срока, отзыве согласия, удовлетворении требования о прекращении обработки, выявлении неправомерной обработки, которую невозможно сделать правомерной, или при наступлении иного предусмотренного законом основания.

11.2. При автоматизированной обработке уничтожение подтверждается актом и выгрузкой из журнала регистрации событий; при неавтоматизированной — актом. Подтверждающие документы содержат только необходимые сведения и хранятся в установленный Оператором срок с учётом требований законодательства.

11.3. Удаление охватывает рабочие базы, очереди, временные файлы и доступные копии. Резервные копии перезаписываются по документированному циклу, а доступ к удалённым данным до перезаписи блокируется.

12. Меры защиты

12.1. Оператор принимает правовые, организационные и технические меры, необходимые для выполнения обязанностей, установленных статьями 18.1 и 19 Федерального закона № 152-ФЗ.

12.2. В зависимости от установленных угроз применяются, в частности:

• разграничение прав доступа и индивидуальные учётные записи;
• обязательства конфиденциальности;
• защищённое соединение HTTPS/TLS;
• хранение секретов вне общедоступной части Сайта;
• защита форм, ограничение частоты запросов и журналирование событий безопасности;
• обновление программного обеспечения и устранение выявленных уязвимостей;
• резервное копирование и проверка восстановления;
• антивирусная и сетевая защита на применимых узлах;
• периодический пересмотр прав доступа и эффективности мер;
• документированный порядок реагирования на инциденты и уничтожения данных.

12.3. Конкретные сведения о конфигурации защиты, способные облегчить несанкционированный доступ, публично не раскрываются.

13. Инциденты

13.1. При выявлении неправомерной или случайной передачи, предоставления, распространения либо доступа к персональным данным, повлёкших нарушение прав субъектов, Оператор организует внутреннее расследование, принимает меры по прекращению нарушения и предотвращению последствий.

13.2. Оператор уведомляет Роскомнадзор в течение 24 часов с момента выявления инцидента и сообщает результаты внутреннего расследования в течение 72 часов в порядке, установленном законом.

14. Уведомление Роскомнадзора и внутренний контроль

14.1. До начала обработки Оператор направляет уведомление в Роскомнадзор, если обработка не относится к предусмотренному законом исключению. При изменении целей, категорий данных, информационных систем, мест размещения баз, привлечённых лиц или иных сообщённых сведений Оператор направляет уведомление об изменениях в установленный срок.

14.2. Оператор ведёт перечень целей и процессов обработки, учёт лиц с доступом, журнал запросов субъектов, журнал инцидентов и документы, подтверждающие уничтожение данных, а также периодически проверяет соответствие фактической обработки настоящей Политике.

15. Заключительные положения

15.1. Политика пересматривается при изменении законодательства, целей, состава данных, функций Сайта, подрядчиков или архитектуры обработки, а также по результатам инцидента или внутренней проверки.

15.2. Новая редакция применяется с даты публикации. Если изменение требует нового согласия, обработка на новых условиях начинается только после получения такого согласия.

15.3. Размещение Политики не заменяет фактического выполнения требований законодательства, включая корректную настройку форм и cookie, направление уведомлений, оформление поручений обработки, локализацию баз данных, обеспечение безопасности и подтверждение уничтожения.