Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет порядок и условия обработки персональных данных и меры по обеспечению их безопасности в Обществе с ограниченной ответственностью «Научно-производственное предприятие «Завод мобильного станкостроения» (далее — Оператор).

1.2. Сведения об Операторе:

• полное наименование: ООО «НПП «Завод мобильного станкостроения»;
• ИНН 1674010744, КПП 167401001, ОГРН 1241600056070;
• адрес: 422230, Республика Татарстан, Агрызский район, г. Агрыз, ул. Гоголя, д. 11;
• электронная почта: project@z-ms.ru, телефон: +7 927 030-80-09;
• регистрационный номер в реестре операторов, осуществляющих обработку персональных данных: 16-25-054784.

1.3. Политика разработана в соответствии с Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон) и применяется ко всем персональным данным, которые Оператор получает через сайт z-ms.ru, по электронной почте, по телефону, через мессенджеры, при заключении и исполнении договоров, а также при трудоустройстве.

1.4. Политика опубликована на сайте z-ms.ru и доступна без ограничений (ч. 2 ст. 18.1 Закона). К отношениям, не урегулированным Политикой, применяется законодательство Российской Федерации.

2. Основные понятия

2.1. Персональные данные — любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

2.2. Обработка персональных данных — любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных.

2.3. Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту.

2.4. Сайт — совокупность страниц, размещённых в сети Интернет по адресу z-ms.ru. Иные термины используются в значениях, установленных Законом.

3. Цели обработки, категории субъектов и перечень данных

3.1. Рассмотрение обращений и заявок и ответы на них, в том числе консультирование, подбор оборудования и услуг, подготовка коммерческих и технико-коммерческих предложений, ответы на повторные обращения по той же задаче.

• Субъекты: посетители сайта, клиенты и представители клиентов, направившие обращение.
• Данные: имя (фамилия, отчество — если указаны); номер телефона; адрес электронной почты; имя пользователя (ник) в мессенджере; наименование организации и должность (если указаны); содержание обращения и приложенные файлы (чертежи, фотографии); адрес страницы, с которой отправлена форма, и сведения об источнике перехода на сайт; IP-адрес и время отправки формы; при согласии на аналитические файлы cookie — идентификатор посетителя Яндекс Метрики (ClientID) и идентификатор рекламного перехода (yclid); отметка о согласии на обработку персональных данных с датой, временем и редакцией согласия.
• Основание: согласие субъекта (п. 1 ч. 1 ст. 6 Закона); действия по запросу субъекта до заключения договора (п. 5 ч. 1 ст. 6 Закона).
• Срок: 3 года с даты последнего обращения или до отзыва согласия — что наступит раньше; если заключён договор — по правилам п. 3.2.

3.2. Заключение и исполнение договоров поставки оборудования и оказания услуг, в том числе доставка, обучение работе на оборудовании, гарантийное и сервисное обслуживание.

• Субъекты: клиенты — физические лица и индивидуальные предприниматели; представители и работники контрагентов — юридических лиц.
• Данные: фамилия, имя, отчество; должность; номер телефона; адрес электронной почты; реквизиты доверенности или иного документа о полномочиях; адрес доставки; для индивидуальных предпринимателей — ИНН, ОГРНИП, банковские реквизиты.
• Основание: для клиентов — физических лиц и индивидуальных предпринимателей — исполнение договора, стороной которого является субъект (п. 5 ч. 1 ст. 6 Закона); для представителей контрагентов — осуществление прав и законных интересов Оператора и контрагента по договору (п. 7 ч. 1 ст. 6 Закона); исполнение обязанностей Оператора по законодательству о бухгалтерском учёте и налогах (п. 2 ч. 1 ст. 6 Закона).
• Срок: в течение действия договора, включая гарантийный срок, затем — в течение сроков хранения учётных документов (не менее 5 лет после отчётного года, ст. 29 Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»).

3.3. Анализ использования сайта и улучшение его работы (веб-аналитика).

• Субъекты: посетители сайта, давшие согласие на использование аналитических файлов cookie.
• Данные: идентификаторы файлов cookie, IP-адрес, сведения о браузере и устройстве, просмотренные страницы, время и источник посещения, действия на странице (запись сеанса — Вебвизор, без содержимого полей формы).
• Основание: согласие субъекта, выраженное нажатием кнопки «Принять» в уведомлении о файлах cookie (п. 1 ч. 1 ст. 6 Закона).
• Срок: до отзыва согласия, но не более 12 месяцев с даты согласия, после чего согласие запрашивается повторно; порядок — в Политике использования файлов cookie.

3.4. Ведение кадрового и бухгалтерского учёта.

• Субъекты: работники, соискатели, уволенные работники, родственники работников (в случаях, предусмотренных законодательством).
• Данные: в объёме, предусмотренном трудовым, налоговым, пенсионным законодательством и законодательством о бухгалтерском учёте (фамилия, имя, отчество, дата и место рождения, паспортные данные, адрес, контакты, ИНН, СНИЛС, сведения о трудовой деятельности, образовании, доходах, банковские реквизиты и иные сведения по закону).
• Основание: исполнение трудового договора и обязанностей Оператора по законодательству (п. 2, 5 ч. 1 ст. 6 Закона); согласие субъекта — в случаях, когда оно требуется.
• Срок: в сроки хранения документов, установленные законодательством об архивном деле (Перечень, утверждённый приказом Росархива от 20.12.2019 № 236); данные соискателей — до принятия решения о приёме, но не более 30 дней, если соискатель не дал согласия на включение в кадровый резерв.

3.5. Оператор не обрабатывает специальные категории персональных данных (сведения о расовой, национальной принадлежности, политических взглядах, религиозных или философских убеждениях, состоянии здоровья, интимной жизни, судимости), за исключением случаев, прямо предусмотренных трудовым законодательством, и не обрабатывает биометрические персональные данные.

3.6. Оператор не направляет рекламные сообщения без отдельного согласия субъекта на их получение.

3.7. Оператор не принимает на основании исключительно автоматизированной обработки персональных данных решения, порождающие юридические последствия в отношении субъекта или иным образом затрагивающие его права и законные интересы (ст. 16 Закона). Цены, скидки, сроки и условия поставки определяет уполномоченный работник Оператора.

4. Порядок и условия обработки

4.1. Обработка осуществляется смешанным способом: с использованием средств автоматизации (сайт, система учёта обращений, электронная почта) и без них. Сведения с сайта передаются в систему учёта обращений по защищённому протоколу HTTPS.

4.2. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся за пределами Российской Федерации, Оператором не осуществляются (ч. 5 ст. 18 Закона).

4.3. Оператор поручает обработку персональных данных другим лицам на основании договора (ч. 3 ст. 6 Закона). Такие лица обязаны соблюдать принципы и правила обработки, конфиденциальность и меры безопасности, предусмотренные Законом. Обработку по поручению Оператора осуществляют:

• ООО «Бегет» (г. Санкт-Петербург) — размещение сайта и электронной почты;
• IHOR HOSTING LTD (167-169 Great Portland Street, London, W1W 5PF, Великобритания) — предоставление виртуального сервера для системы учёта обращений; сервер расположен в центре обработки данных в г. Москве;
• Коробейников Евгений Игоревич (плательщик налога на профессиональный доход, ИНН 183511721058, г. Ижевск) — разработка, администрирование и сопровождение сайта и системы учёта обращений;
• ООО «ЯНДЕКС» (119021, г. Москва, ул. Льва Толстого, д. 16) — веб-аналитика «Яндекс Метрика» на условиях использования сервиса, только при согласии посетителя на аналитические файлы cookie.

4.4. Для подготовки ответов на обращения Оператор использует сервис на основе искусственного интеллекта (разработчик модели — Anthropic PBC, США; далее — ИИ-сервис). Ответы на типовые вопросы могут направляться автоматически; вопросы цены, скидок, сроков и условий передаются работнику Оператора. Перед передачей в ИИ-сервис сведения обезличиваются методом введения идентификаторов: фамилии, имена, отчества, номера телефонов, адреса электронной почты, имена пользователей и ссылки в мессенджерах, ИНН и иные номера, наименования организаций заменяются условными обозначениями; должность, город, идентификаторы посетителя и адреса страниц в ИИ-сервис не передаются. Таблица соответствия условных обозначений хранится только на серверах Оператора в Российской Федерации и в ИИ-сервис не передаётся. В ИИ-сервис передаётся описание технической задачи (вид работ, размеры, материалы, модель оборудования).

4.5. Трансграничная передача персональных данных Оператором не осуществляется.

4.6. Если субъект сам выбирает для связи мессенджер или почтовый сервис, сообщения доставляет владелец этого сервиса по его правилам. Полученные Оператором сведения обрабатываются по настоящей Политике и хранятся в базах данных в Российской Федерации.

4.7. Оператор и иные лица, получившие доступ к персональным данным, обязаны не раскрывать их третьим лицам и не распространять без согласия субъекта, если иное не предусмотрено федеральным законом (ст. 7 Закона). Персональные данные предоставляются органам государственной власти только в случаях и в порядке, предусмотренных законодательством.

5. Сроки реагирования, прекращение обработки и уничтожение

5.1. Обработка прекращается при достижении целей обработки, истечении сроков, указанных в разделе 3, отзыве согласия (если отсутствуют иные законные основания), выявлении неправомерной обработки, ликвидации Оператора.

5.2. Оператор:

• при достижении цели обработки или отзыве согласия прекращает обработку и уничтожает персональные данные в срок, не превышающий 30 дней (ч. 4, 5 ст. 21 Закона), если иное не предусмотрено договором или федеральным законом;
• при получении требования о прекращении обработки прекращает её в срок, не превышающий 10 рабочих дней; срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением (ч. 5.1 ст. 21 Закона);
• при выявлении неточных данных блокирует их на период проверки и уточняет в течение 7 рабочих дней со дня представления сведений (ч. 1 ст. 21, ч. 3 ст. 20 Закона);
• при выявлении неправомерной обработки прекращает её в течение 3 рабочих дней, а если обеспечить правомерность невозможно — уничтожает данные в течение 10 рабочих дней (ч. 3 ст. 21 Закона);
• при неправомерной или случайной передаче (предоставлении, распространении, доступе) персональных данных уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (ч. 3.1 ст. 21 Закона).

5.3. Персональные данные уничтожаются удалением или необратимым обезличиванием в системе учёта обращений, почтовых ящиках и иных базах данных Оператора. Резервные копии хранятся не более 30 дней. Если уничтожить данные в установленный срок невозможно, Оператор блокирует их и уничтожает в срок не более 6 месяцев (ч. 6 ст. 21 Закона). Уничтожение подтверждается актом и выгрузкой из журнала регистрации событий (приказ Роскомнадзора от 28.10.2022 № 179).

6. Права субъекта персональных данных

6.1. Субъект вправе:

• получать сведения об обработке своих персональных данных (ч. 7 ст. 14 Закона);
• требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, незаконно полученные или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных и потребовать прекращения обработки;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в суде.

6.2. Запрос о предоставлении сведений направляется письменно по адресу Оператора либо в форме электронного документа, подписанного электронной подписью, на адрес project@z-ms.ru и содержит сведения, предусмотренные ч. 3 ст. 14 Закона: номер основного документа, удостоверяющего личность субъекта или его представителя, дату выдачи и выдавший орган; сведения, подтверждающие отношения с Оператором (например, дату заявки и телефон или ник, с которых она направлена); подпись. Отзыв согласия и требование о прекращении обработки можно также направить с адреса электронной почты или номера телефона, указанных в заявке.

6.3. Оператор отвечает на запрос в течение 10 рабочих дней с даты его получения. Срок может быть продлён не более чем на 5 рабочих дней с направлением субъекту мотивированного уведомления (ч. 3 ст. 14, ч. 1 ст. 20 Закона).

7. Меры по обеспечению безопасности

7.1. Оператор принимает правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения (ст. 18.1, 19 Закона), в том числе осуществляет:

• назначение лица, ответственного за организацию обработки персональных данных, издание локальных актов по вопросам обработки персональных данных, в том числе о порядке обезличивания;
• оценка вреда, который может быть причинён субъектам, определение уровня защищённости персональных данных в информационной системе (постановление Правительства РФ от 01.11.2012 № 1119), внутренний контроль соответствия обработки требованиям Закона;
• предоставление доступа к данным только лицам, которым он необходим для выполнения обязанностей, по индивидуальным учётным записям с разграничением прав;
• регистрация действий с данными в журнале системы учёта обращений, резервное копирование баз данных со сроком хранения копий не более 30 дней;
• ознакомление работников, допущенных к обработке, с требованиями законодательства и настоящей Политикой.

7.2. Лицо, ответственное за организацию обработки персональных данных, — директор Пигалев Сергей Александрович, контакты: project@z-ms.ru, 422230, Республика Татарстан, Агрызский район, г. Агрыз, ул. Гоголя, д. 11.

8. Файлы cookie

8.1. Порядок использования файлов cookie и аналогичных технологий на сайте и способы управления ими описаны в Политике использования файлов cookie (z-ms.ru/cookies/).

9. Заключительные положения

9.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с момента её размещения на сайте, если иное не указано в ней. Предыдущие редакции хранятся у Оператора и предоставляются по запросу.

9.2. Вопросы, связанные с обработкой персональных данных, можно направить на адрес электронной почты project@z-ms.ru.