Политика в отношении обработки персональных данных

1. Общие положения

1.1. Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон № 152-ФЗ) и определяет политику Общество с ограниченной ответственностью «Монолит» (далее — Оператор) в отношении обработки персональных данных, а также сведения о реализуемых требованиях к защите персональных данных.

1.2. Политика определяет цели, правовые основания, порядок, способы и условия обработки персональных данных, перечень обрабатываемых персональных данных, категории субъектов персональных данных, сроки обработки и хранения, порядок уничтожения персональных данных, а также права субъектов персональных данных и порядок их реализации.

1.3. Политика распространяется на все персональные данные, которые Оператор обрабатывает с использованием средств автоматизации и без использования таких средств.

1.4. Действие Политики распространяется на персональные данные, получаемые Оператором:

• через сайт https://metr-dom.ru и его поддомены (далее — Сайт), включая формы обратной связи, регистрацию, личный кабинет, корзину, оформление заказа, формы отзывов и онлайн-чат;
• по телефону, электронной почте и в мессенджерах;
• при обслуживании покупателей в розничных магазинах сеть супермаркетов «Метр»;
• при взаимодействии с кандидатами на вакансии, работниками, контрагентами и их представителями.

1.5. Политика является общедоступным документом. Действующая редакция Политики размещается в свободном доступе по адресу https://metr-dom.ru/policy/; прямая ссылка на Политику размещается в нижней части (подвале) каждой страницы Сайта и рядом с каждой формой сбора персональных данных.

1.6. Оператор вправе вносить изменения в Политику. Новая редакция вступает в силу с момента её размещения на Сайте, если иное не указано в новой редакции. Предыдущие редакции Политики сохраняются и предоставляются по запросу.

2. Термины и определения

2.1. В настоящей Политике используются термины в значениях, установленных статьёй 3 Закона № 152-ФЗ:

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому, или определяемому физическому лицу (субъекту персональных данных).
• Оператор — Общество с ограниченной ответственностью «Монолит», самостоятельно или совместно с другими лицами организующее и (или) осуществляющее обработку персональных данных, а также определяющее цели обработки, состав персональных данных и совершаемые с ними действия.
• Обработка персональных данных — любое действие (операция) или совокупность действий, совершаемых с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение.
• Автоматизированная обработка — обработка персональных данных с помощью средств вычислительной техники.
• Распространение персональных данных — действия, направленные на раскрытие персональных данных неопределённому кругу лиц.
• Предоставление персональных данных — действия, направленные на раскрытие персональных данных определённому лицу или определённому кругу лиц.
• Блокирование персональных данных — временное прекращение обработки (за исключением случаев, когда обработка необходима для уточнения персональных данных).
• Уничтожение персональных данных — действия, в результате которых становится невозможным восстановить содержание персональных данных и (или) в результате которых уничтожаются материальные носители персональных данных.
• Обезличивание персональных данных — действия, в результате которых становится невозможным без использования дополнительной информации определить принадлежность персональных данных конкретному субъекту персональных данных.
• Трансграничная передача персональных данных — передача персональных данных на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.
• Пользователь — физическое лицо, использующее Сайт.
• Файлы cookie — небольшие фрагменты данных, которые Сайт сохраняет в браузере Пользователя и которые браузер передаёт Сайту при последующих обращениях.

3. Сведения об Операторе

4. Правовые основания обработки персональных данных

4.1. Правовыми основаниями обработки персональных данных Оператором являются:

• Конституция Российской Федерации;
• Гражданский кодекс Российской Федерации;
• Трудовой кодекс Российской Федерации;
• Налоговый кодекс Российской Федерации;
• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных»;
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• Закон Российской Федерации от 07.02.1992 № 2300-1 «О защите прав потребителей»;
• постановление Правительства Российской Федерации от 31.12.2020 № 2463 «Об утверждении Правил продажи товаров по договору розничной купли-продажи…»;
• Федеральный закон от 22.05.2003 № 54-ФЗ «О применении контрольно-кассовой техники при осуществлении расчётов в Российской Федерации»;
• Федеральный закон от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе»;
• устав Оператора, договоры, заключаемые между Оператором и субъектами персональных данных, согласия субъектов персональных данных на обработку их персональных данных.

4.2. Обработка персональных данных осуществляется Оператором на следующих основаниях, предусмотренных частью 1 статьи 6 Закона № 152-ФЗ:

• пункт 1 — обработка осуществляется с согласия субъекта персональных данных (веб-аналитика и файлы cookie необязательных категорий, публикация отзывов, информационные и рекламные рассылки, обработка обращений);
• пункт 5 — обработка необходима для исполнения договора, стороной которого либо выгодоприобретателем или поручителем, по которому является субъект персональных данных (оформление, оплата, доставка и возврат товара, ведение личного кабинета);
• пункт 2 — обработка необходима для исполнения возложенных на Оператора законодательством Российской Федерации функций и обязанностей (бухгалтерский и налоговый учёт, применение контрольно-кассовой техники, рассмотрение обращений потребителей).

5. Принципы обработки персональных данных

5.1. Обработка персональных данных осуществляется Оператором на основе принципов, установленных статьёй 5 Закона № 152-ФЗ:

• законность и справедливость целей и способов обработки;
• ограничение обработки достижением конкретных, заранее определённых и законных целей; недопущение обработки, несовместимой с целями сбора персональных данных;
• недопущение объединения баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой;
• обработка только тех персональных данных, которые отвечают целям обработки; недопущение избыточности состава данных по отношению к заявленным целям;
• обеспечение точности, достаточности и актуальности персональных данных; принятие мер по удалению или уточнению неполных, или неточных данных;
• хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки, если срок хранения не установлен законом или договором;
• уничтожение либо обезличивание персональных данных по достижении целей обработки или в случае утраты необходимости в достижении этих целей.

6. Категории субъектов персональных данных и состав обрабатываемых данных

6.1. Оператор обрабатывает персональные данные следующих категорий субъектов:

6.2. Оператор не обрабатывает специальные категории персональных данных (касающиеся расовой, национальной принадлежности, политических взглядов, религиозных или философских убеждений, состояния здоровья, интимной жизни), а также биометрические персональные данные.

6.3. Оператор не осуществляет целенаправленный сбор персональных данных несовершеннолетних, не достигших возраста четырнадцати лет. Если Оператору станет известно, что такие данные были получены без согласия законного представителя, они подлежат уничтожению.

6.4. Оператор не принимает решений, порождающих юридические последствия в отношении субъекта персональных данных или иным образом затрагивающих его права и законные интересы, исключительно на основании автоматизированной обработки персональных данных.

7. Цели обработки персональных данных

8. Порядок и условия обработки персональных данных

8.1. Обработка персональных данных осуществляется Оператором с соблюдением принципов и правил, предусмотренных Законом № 152-ФЗ и настоящей Политикой.

8.2. Обработка персональных данных осуществляется смешанным способом: с использованием средств автоматизации и без использования таких средств.

8.3. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются Оператором с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона № 152-ФЗ). Серверное оборудование, на котором размещены Сайт и его база данных, расположено в центре обработки данных на территории Российской Федерации; учётная система, в которую передаются сведения о заказах, также размещена на территории Российской Федерации.

8.4. Первичный сбор персональных данных осуществляется непосредственно в базу данных, расположенную на территории Российской Федерации. Передача персональных данных в иные информационные системы осуществляется только после их записи в указанную базу данных.

8.5. Оператор не осуществляет продажу персональных данных и не передаёт их третьим лицам в целях, не предусмотренных настоящей Политикой и согласиями субъектов персональных данных.

8.6. Оператор обеспечивает хранение персональных данных в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки.

9. Файлы cookie и системы веб-аналитики

9.1. Сайт использует файлы cookie и иные аналогичные технологии. Порядок их применения, перечень категорий и конкретных файлов cookie, сроки их хранения и способы отказа определены Политикой использования файлов cookie, размещённой по адресу https://metr-dom.ru/cookie-policy/ и являющейся неотъемлемой частью настоящей Политики.

9.2. Файлы cookie, не являющиеся строго необходимыми для работы Сайта (аналитические и маркетинговые), устанавливаются только после получения согласия Пользователя, выраженного путём совершения активного действия в окне подтверждения использования файлов cookie. До получения согласия соответствующие сценарии не загружаются и файлы cookie не устанавливаются.

9.3. Для сбора статистики посещаемости и анализа работы Сайта Оператор использует следующие системы веб-аналитики и сторонние сервисы:

9.4. Отказ от использования файлов cookie необязательных категорий не ограничивает доступ к Сайту и возможность оформления заказа, но может повлиять на удобство работы отдельных функций.

10. Передача персональных данных третьим лицам

10.1. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных на основании заключаемого с этим лицом договора (поручения на обработку) в соответствии со статьёй 6 Закона № 152-ФЗ. Договор должен содержать перечень действий с персональными данными, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность персональных данных, а также требования к защите обрабатываемых данных.

10.2. Лицо, осуществляющее обработку персональных данных по поручению Оператора, не обязано получать согласие субъекта персональных данных. Ответственность перед субъектом за действия такого лица несёт Оператор.

10.3. Оператор передаёт персональные данные следующим лицам:

10.4. Оператор обеспечивает заключение с каждым из указанных лиц (за исключением органов власти, получающих данные на основании закона) договора-поручения на обработку персональных данных, отвечающего требованиям статьи 6 Закона № 152-ФЗ.

11. Трансграничная передача персональных данных

11.1. Оператор не осуществляет трансграничную передачу персональных данных.

11.2. В случае если Оператор примет решение о трансграничной передаче персональных данных, до начала такой передачи он обязан уведомить Роскомнадзор в порядке, установленном статьёй 12 Закона № 152-ФЗ, внести соответствующие сведения в настоящую Политику и получить согласие субъектов персональных данных, если такое согласие требуется.

12. Сроки обработки и порядок уничтожения персональных данных

12.1. Сроки обработки персональных данных определяются достижением целей обработки и указаны в разделе 7 настоящей Политики.

12.2. Персональные данные подлежат уничтожению либо обезличиванию:

• по достижении целей обработки или в случае утраты необходимости в достижении этих целей — в срок, не превышающий 30 дней с даты достижения цели, если иное не предусмотрено договором или законом;
• в случае отзыва субъектом персональных данных согласия на обработку, если персональные данные обрабатывались исключительно на основании согласия, — в срок, не превышающий 30 дней с даты поступления отзыва (часть 5 статьи 21 Закона № 152-ФЗ);
• в случае выявления неправомерной обработки персональных данных — в срок, не превышающий 10 рабочих дней с даты выявления (часть 3 статьи 21 Закона № 152-ФЗ);
• по требованию субъекта персональных данных при подтверждении факта обработки данных, являющихся неполными, неточными, незаконно полученными или не являющихся необходимыми для заявленной цели обработки.

12.3. Факт уничтожения персональных данных подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе персональных данных, оформляемыми в соответствии с приказом Роскомнадзора от 28.10.2022 № 179.

12.4. Если уничтожение персональных данных в установленный срок невозможно по техническим причинам, Оператор осуществляет блокирование персональных данных и обеспечивает их уничтожение в срок не более шести месяцев.

12.5. Прекращение обработки по отзыву согласия не влечёт уничтожения персональных данных, обработка которых продолжается на ином законном основании, в частности данных, содержащихся в первичных учётных и кассовых документах, срок хранения которых установлен законодательством о бухгалтерском учёте и о налогах и сборах.

13. Права субъекта персональных данных

13.1. Субъект персональных данных имеет право:

• получать сведения об обработке его персональных данных Оператором в объёме, предусмотренном частью 7 статьи 14 Закона № 152-ФЗ, в том числе о правовых основаниях и целях обработки, применяемых способах обработки, наименовании и адресе Оператора, обрабатываемых персональных данных, сроках обработки и хранения, порядке реализации своих прав, сведениях о лицах, которым могут быть переданы персональные данные;
• требовать уточнения своих персональных данных, их блокирования или уничтожения, если персональные данные являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки;
• отозвать согласие на обработку персональных данных в любое время;
• возражать против обработки персональных данных в целях продвижения товаров, работ и услуг на рынке;
• обжаловать действия или бездействие Оператора в уполномоченный орган по защите прав субъектов персональных данных (Роскомнадзор) или в судебном порядке;
• на защиту своих прав и законных интересов, в том числе на возмещение убытков и компенсацию морального вреда.

14. Порядок обращения субъекта персональных данных и сроки рассмотрения

14.1. Запрос, требование или отзыв согласия направляется субъектом персональных данных одним из следующих способов:

• в форме электронного документа на адрес электронной почты metr-consult@emi.irk.ru;
• в письменной форме почтовым отправлением по адресу: 664007, Иркутская область, г. Иркутск, ул. Фридриха Энгельса, стр. 8, офис 405;
• лично по адресу места нахождения Оператора либо в любом розничном магазине сеть супермаркетов «Метр».

14.2. Запрос должен содержать: сведения, подтверждающие участие субъекта персональных данных в отношениях с Оператором (номер договора, номер заказа, адрес электронной почты или номер телефона, указанные при обращении), либо сведения, иным образом подтверждающие факт обработки персональных данных Оператором; фамилию, имя, отчество субъекта или его представителя; номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе; подпись субъекта или его представителя. Запрос в форме электронного документа подписывается электронной подписью в соответствии с законодательством Российской Федерации либо направляется с адреса электронной почты, указанного субъектом при обращении к Оператору.

Скачать рекомендуемую форму заявления об отзыве согласия на обработку персональных данных можно по ссылке: https://metr-dom.ru/policy/blank-otzyva-soglasiya.docx

14.3. Сроки рассмотрения обращений:

14.4. Субъект персональных данных вправе отозвать своё согласие в любое время, направив Оператору письменное заявление в свободной форме одним из способов, указанных в п. 14.1 настоящей Политики. Заявление должно содержать сведения, предусмотренные п. 14.2 настоящей Политики. В случае отзыва согласия Оператор прекращает обработку персональных данных и уничтожает их в срок, не превышающий 30 дней с даты поступления отзыва, за исключением случаев, когда обработка должна быть продолжена в силу закона (п. 12.5 настоящей Политики).

14.5. Оператор обязан уведомить субъекта персональных данных об устранении допущенных нарушений или об уничтожении персональных данных, а в случае отказа в удовлетворении требования — дать мотивированный ответ со ссылкой на положения законодательства Российской Федерации.

15. Меры по обеспечению безопасности персональных данных

15.1. Оператор принимает правовые, организационные и технические меры, необходимые и достаточные для обеспечения выполнения обязанностей, предусмотренных Законом № 152-ФЗ, и для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, предоставления, распространения, а также от иных неправомерных действий в отношении персональных данных.

15.2. К числу применяемых мер относятся:

• назначение ответственного за организацию обработки персональных данных;
• издание документов, определяющих политику Оператора в отношении обработки персональных данных, локальных актов по вопросам обработки и защиты персональных данных, а также актов, устанавливающих процедуры предупреждения и выявления нарушений законодательства;
• осуществление внутреннего контроля соответствия обработки персональных данных Закону № 152-ФЗ и принятым в соответствии с ним нормативным правовым актам;
• ознакомление работников, непосредственно осуществляющих обработку персональных данных, с положениями законодательства Российской Федерации о персональных данных и локальных актов Оператора, обучение указанных работников;
• определение угроз безопасности персональных данных при их обработке в информационных системах персональных данных и определение уровня защищённости в соответствии с постановлением Правительства Российской Федерации от 01.11.2012 № 1119;
• применение организационных и технических мер по обеспечению безопасности персональных данных в соответствии с приказом ФСТЭК России от 18.02.2013 № 21;
• разграничение прав доступа к информационным системам персональных данных, применение многофакторной аутентификации при доступе к административной части Сайта, парольная политика;
• передача персональных данных между браузером Пользователя и Сайтом по защищённому протоколу HTTPS;
• регистрация и учёт действий, совершаемых с персональными данными, ведение журналов доступа;
• резервное копирование данных и проверка возможности их восстановления;
• учёт машинных носителей персональных данных и установление правил доступа в помещения, в которых обрабатываются персональные данные;
• обнаружение фактов несанкционированного доступа к персональным данным и принятие мер реагирования, включая восстановление персональных данных, изменённых или уничтоженных вследствие несанкционированного доступа.

16. Действия Оператора при инцидентах безопасности

16.1. В случае установления факта неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлёкшей нарушение прав субъектов персональных данных, Оператор обязан:

• в течение 24 часов с момента выявления инцидента уведомить Роскомнадзор о произошедшем инциденте, его предполагаемой причине и предполагаемом вреде, о принятых мерах по устранению последствий, а также сообщить сведения о лице, уполномоченном Оператором на взаимодействие с Роскомнадзором по указанным вопросам;
• в течение 72 часов с момента выявления инцидента уведомить Роскомнадзор о результатах внутреннего расследования и предоставить сведения о лицах, действия которых стали причиной инцидента (при наличии таких лиц).

16.2. Порядок действий работников Оператора при выявлении инцидента, состав уведомлений и ответственные лица определяются локальным актом Оператора.

17. Ответственность

17.1. Лица, виновные в нарушении требований законодательства Российской Федерации в области персональных данных, несут ответственность, предусмотренную законодательством Российской Федерации.

17.2. Оператор несёт ответственность перед субъектом персональных данных за действия лиц, которым обработка персональных данных поручена Оператором.

18. Заключительные положения

18.1. Настоящая Политика вступает в силу с даты её утверждения приказом Оператора и действует бессрочно до замены её новой редакцией.

18.2. Контроль за исполнением требований настоящей Политики осуществляет ответственный за организацию обработки персональных данных.

18.3. Вопросы, не урегулированные настоящей Политикой, разрешаются в соответствии с законодательством Российской Федерации.