Политика обработки персональных данных

1. Кто обрабатывает данные и на каких принципах

Настоящий документ описывает обработку персональных данных пользователей сайта ООО «РЕФОРМА» и порядок обеспечения их безопасности. Оператор обрабатывает данные только при наличии законного основания и в объёме, необходимом для конкретной цели.

2. Цели, данные и основания

Сервис не предназначен для ввода специальных категорий персональных данных или сведений, которые пользователь не вправе передавать. Если пользователь вводит данные физического лица, он должен иметь законное основание для их передачи и использования.

3. Получатели и хранение

Доступ получают уполномоченные сотрудники и привлечённые обработчики в необходимом объёме. Для выполнения запросов сайт использует внешние API и сервисы, в том числе поставщиков данных для поиска организаций, адресов, телефонов и банков, проверки статуса плательщика НПД и обогащения сведений. Состав поставщиков зависит от выбранной функции. Сервер передаёт поставщику параметры запроса, необходимые для выполнения этой функции; Яндекс.Метрика получает технические идентификаторы и сведения о посещении непосредственно из браузера. Перечень поставщиков, договорные поручения и страны обработки подлежат проверке оператором и должны соответствовать фактической конфигурации. Оператор не утверждает, что все внешние получатели находятся в Российской Федерации.

• Cookie audit_visitor действует пять суток, audit_session — 30 минут бездействия; при обращении срок может продлеваться. Эти сроки относятся к идентификаторам браузера, а не к хранению самих записей на стороне оператора. Срок хранения серверных журналов в основной базе — пять суток с периодической очисткой примерно раз в час; ограничения количества и объёма могут приводить к более раннему удалению. Резервные копии не предназначены для текущего использования; их цикл хранения определяется отдельно и должен учитывать требования об уничтожении данных.
• Сведения аккаунта обрабатываются пока существует аккаунт и удаляются или обезличиваются после его закрытия, кроме сведений, которые оператор обязан или вправе хранить для исполнения закона, учёта согласия и защиты прав. Сроки обязательного хранения применяются отдельно к соответствующим сведениям.
• Срок хранения данных у внешних поставщиков определяется фактическими условиями услуги, договора и применимым законодательством. Оператор проверяет условия привлечения обработчиков и раскрывает существенные категории получателей в сведениях о поставщиках.
• История поиска в localStorage и временное состояние в sessionStorage хранятся в браузере пользователя до удаления пользователем, браузером или функцией сайта.

Оператор осуществляет деятельность в Российской Федерации. Серверы сайта и используемые оператором базы данных размещаются в Российской Федерации; для предоставления функций сайта привлекаются российские поставщики данных и технических услуг.

Оператор не контролирует всю внутреннюю инфраструктуру поставщиков и привлекаемых ими лиц и не гарантирует, что они обрабатывают запросы исключительно в России. Отдельные запросы, их содержание и технические сведения могут направляться или обрабатываться за пределами Российской Федерации, в том числе при дальнейшей обработке на стороне поставщиков.

Если такая обработка затрагивает персональные данные, оператор обязан обеспечить соблюдение применимых требований законодательства Российской Федерации, включая требования к локализации, законным основаниям обработки и трансграничной передаче, а также уведомлению уполномоченного органа в предусмотренных законом случаях. Настоящее предупреждение не является отдельным согласием на трансграничную передачу и не заменяет обязательные процедуры.

4. Права субъекта

Субъект вправе получать сведения об обработке, требовать уточнения, блокирования или уничтожения неточных либо обрабатываемых с нарушением закона данных, отозвать согласие и обратиться в Роскомнадзор или суд. Запросы принимаются по адресу info@companylist.ru с подтверждением личности в случаях, предусмотренных законом.

В запросе укажите тему «Персональные данные», описание требования и контакт для ответа. Оператор проверит полномочия заявителя, зарегистрирует обращение и ответит в сроки, предусмотренные статьями 14, 20 и 21 Федерального закона № 152-ФЗ. Если для идентификации необходимы дополнительные сведения, оператор запросит только необходимые данные. Не направляйте копию паспорта без отдельного запроса и обоснования необходимости.

Нормативные основания

• Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», в том числе статьи 5–9, 12, 14–15, 18–22.
• Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации...».
• Гражданский кодекс Российской Федерации, включая нормы об оферте, акцепте, договорах и интеллектуальных правах.
• Федеральный закон от 13.03.2006 № 38-ФЗ «О рекламе» : статьи 5, 18 и 18.1 для рекламных сообщений и рекламы в интернете.
• Постановление Правительства РФ от 15.09.2008 № 687 о правилах обработки персональных данных без использования средств автоматизации, когда такие способы применяются.
• Закон РФ от 07.02.1992 № 2300-1 «О защите прав потребителей» применяется к отношениям с пользователями-потребителями в предусмотренных законом случаях; договор не может отменять императивные права потребителя.
• Официальный портал Роскомнадзора по персональным данным: реестр операторов, обращения субъектов, уведомления и нормативные документы.

5. Категории получателей и внешние интерфейсы

Домены перечислены для понятного описания фактических соединений; домен не удостоверяет страну размещения баз, полный состав субобработчиков или юридическую роль получателя. Обработка по поручению и самостоятельная обработка получателем различаются. Сведения о конкретных привлечённых лицах и странах обработки предоставляются субъекту в пределах статьи 14 Закона № 152-ФЗ. Перечень интерфейсов не разрешает передачу без законного основания.

Сбор и первичная обработка данных граждан РФ должны соответствовать части 5 статьи 18 Закона № 152-ФЗ. При трансграничной передаче выполняются требования статьи 12, включая предварительные процедуры и уведомление, когда они обязательны. Ссылка на инфраструктуру поставщика не освобождает оператора от этих обязанностей.

6. Сроки обращений и защита данных

Доступ к сведениям об обработке предоставляется в течение десяти рабочих дней с момента обращения или получения запроса; мотивированное продление возможно не более чем на пять рабочих дней в предусмотренных законом случаях. Для прекращения обработки по требованию субъекта применяются сроки и исключения части 5.1 статьи 21. При отзыве согласия и отсутствии иных оснований обработка прекращается и данные уничтожаются в срок не более тридцати дней, если иное не установлено законом или применимым соглашением. Уточнение недостоверных и прекращение неправомерной обработки выполняются по специальным срокам статей 20 и 21, а не по единому сроку для всех обращений.

Оператор обязан разграничивать доступ, назначать ответственного за организацию обработки, обеспечивать конфиденциальность, применять соразмерные угрозам организационные и технические меры, контролировать обработчиков и уничтожение. Публичное описание мер не содержит паролей, ключей или деталей, ослабляющих защиту. Наличие HttpOnly-cookie и маскирования журналов не является гарантией отсутствия всех угроз.

При установлении факта неправомерной или случайной передачи данных, повлёкшей нарушение прав субъектов, оператор уведомляет Роскомнадзор в течение 24 часов и сообщает результаты внутреннего расследования в течение 72 часов в соответствии с частью 3.1 статьи 21. Запросы субъектов, жалобы и сообщения о возможном инциденте принимаются на info@companylist.ru. Для жалобы регулятору доступен официальный портал Роскомнадзора.