Политика в отношении обработки персональных данных

1. Общие положения

Настоящая Политика в отношении обработки персональных данных (далее — Политика) разработана во исполнение требований пункта 2 части 1 статьи 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — 152-ФЗ) и определяет порядок обработки персональных данных и меры по обеспечению их безопасности, применяемые Оператором.

Политика распространяется на все персональные данные, которые Оператор получает в связи с работой сервиса «вместе», размещённого по адресу https://together-wedding.ru, включая поддомены, на которых публикуются созданные пользователями сайты-приглашения (далее — Сервис).

Действующая редакция Политики размещена в свободном доступе по адресу https://together-wedding.ru/legal/privacy.

2. Основные понятия

• Персональные данные — любая информация, относящаяся к прямо или косвенно определённому или определяемому физическому лицу (субъекту персональных данных).
• Обработка персональных данных — любое действие или совокупность действий с персональными данными, совершаемых с использованием средств автоматизации или без них.
• Пользователь — физическое лицо, зарегистрировавшее учётную запись в Сервисе и создающее с его помощью сайт-приглашение.
• Гость — физическое лицо, приглашённое Пользователем и заполняющее анкету подтверждения присутствия (RSVP) на опубликованном сайте Пользователя.
• Посетитель — любое лицо, посещающее Сервис без регистрации.

3. Правовые основания обработки

Оператор обрабатывает персональные данные на следующих основаниях:

• согласие субъекта персональных данных на обработку его персональных данных (пункт 1 части 1 статьи 6 152-ФЗ);
• исполнение договора, стороной которого является субъект персональных данных, — Пользовательского соглашения и Публичной оферты (пункт 5 части 1 статьи 6 152-ФЗ);
• исполнение возложенных на Оператора обязанностей, предусмотренных законодательством Российской Федерации, в том числе налоговым законодательством и Федеральным законом от 27.11.2018 № 422-ФЗ (пункт 2 части 1 статьи 6 152-ФЗ);
• осуществление прав и законных интересов Оператора при условии, что при этом не нарушаются права и свободы субъекта (пункт 7 части 1 статьи 6 152-ФЗ), — в части обеспечения безопасности Сервиса и ведения журнала действий;
• поручение Пользователя на обработку персональных данных Гостей (часть 3 статьи 6 152-ФЗ) — см. раздел 7 настоящей Политики.

4. Цели обработки, состав данных и сроки хранения

Оператор не обрабатывает специальные категории персональных данных (о расовой и национальной принадлежности, политических взглядах, религиозных убеждениях, состоянии здоровья, интимной жизни), биометрические персональные данные, а также персональные данные несовершеннолетних, не достигших 14 лет, — регистрация в Сервисе допускается только для лиц, достигших 18 лет.

Оператор не принимает решения, порождающие юридические последствия в отношении субъекта, исключительно на основании автоматизированной обработки персональных данных (статья 16 152-ФЗ).

5. Порядок и условия обработки

Обработка персональных данных осуществляется с использованием средств автоматизации. Оператор совершает следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление и уничтожение персональных данных.

Оператор не собирает избыточные данные: состав обрабатываемых данных соответствует заявленным целям. Отказ от предоставления данных, не относящихся к оказанию услуги (например, отказ от рекламной рассылки), не влечёт отказа в заключении договора и не ограничивает доступ к Сервису (часть 4 статьи 16 152-ФЗ).

6. Локализация баз данных

Запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, расположенных на территории Российской Федерации (часть 5 статьи 18 152-ФЗ).

7. Обработка персональных данных Гостей по поручению Пользователя

В отношении персональных данных Гостей, которые Пользователь загружает в Сервис или которые Гости сообщают через анкету RSVP на сайте Пользователя, оператором является Пользователь: именно он определяет цели обработки и состав данных. Оператор Сервиса выступает лицом, осуществляющим обработку персональных данных по поручению Пользователя (часть 3 статьи 6 152-ФЗ).

Условия такого поручения, перечень разрешённых действий и распределение ответственности описаны в Условиях обработки персональных данных гостей. Оператор Сервиса не использует данные Гостей в собственных целях, не передаёт их третьим лицам и не направляет Гостям рекламные сообщения.

8. Передача персональных данных третьим лицам

Оператор не продаёт персональные данные и не передаёт их третьим лицам, за исключением случаев, когда это необходимо для оказания услуг или предусмотрено законом:

• поставщикам инфраструктуры (хостинг, размещение баз данных и файлового хранилища) — на территории Российской Федерации, на основании заключённых договоров, содержащих обязанность соблюдать конфиденциальность и требования статьи 19 152-ФЗ;
• операторам связи и сервисам доставки электронной почты — в объёме, необходимом для отправки сообщений;
• платёжным сервисам — в объёме, необходимом для проведения платежа и формирования чека;
• Пользователю, создавшему сайт-приглашение, — в отношении ответов его Гостей;
• уполномоченным государственным органам — по мотивированному запросу в порядке, установленном законодательством Российской Федерации.

9. Трансграничная передача

Трансграничная передача персональных данных Оператором не осуществляется. В случае если она станет необходимой, Оператор до начала передачи уведомит Роскомнадзор в порядке статьи 12 152-ФЗ и получит отдельное согласие субъектов, а настоящая Политика будет соответствующим образом изменена.

10. Файлы cookie

Сервис использует файлы cookie и аналогичные технологии. Технически необходимые cookie (аутентификация, безопасность, сохранение выбора пользователя) устанавливаются без согласия, поскольку без них Сервис не работает. Аналитические и рекламные cookie устанавливаются только после получения согласия через баннер cookie. Подробный перечень — в Политике использования файлов cookie.

11. Сроки хранения и уничтожение

Персональные данные хранятся не дольше, чем этого требуют цели обработки, либо в течение сроков, указанных в разделе 4. По достижении целей обработки, а также в случае отзыва согласия или требования субъекта об удалении данных, Оператор уничтожает персональные данные в срок, не превышающий 30 дней, если иной срок не установлен законом, и составляет акт об уничтожении, за исключением случаев, когда обработка должна быть продолжена в силу закона или для исполнения договора.

12. Права субъекта персональных данных

Субъект персональных данных вправе:

• получать сведения об обработке своих персональных данных в объёме, предусмотренном частью 7 статьи 14 152-ФЗ;
• требовать уточнения, блокирования или уничтожения персональных данных, если они являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели;
• отозвать согласие на обработку персональных данных (часть 2 статьи 9 152-ФЗ);
• в любой момент отказаться от рекламных рассылок — через ссылку «Отписаться» в письме или обращением к Оператору;
• удалить учётную запись вместе со всеми созданными проектами и данными Гостей;
• обжаловать действия или бездействие Оператора в Роскомнадзоре или в судебном порядке.

13. Порядок обращения

Запросы и требования направляются на адрес privacy@together-wedding.ru либо в письменном виде по адресу: 346782, Россия, Ростовская обл., г. Азов, пр. Зои Космодемьянской, д. 86. Запрос должен содержать сведения, позволяющие идентифицировать субъекта (в частности, адрес электронной почты, указанный при регистрации), и сведения, подтверждающие участие субъекта в отношениях с Оператором. Ответ направляется в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с уведомлением заявителя.

Обращения Гостей, касающиеся данных, размещённых на сайте конкретного Пользователя, Оператор перенаправляет этому Пользователю как оператору таких данных и содействует в исполнении его обязанностей.

14. Меры по обеспечению безопасности

Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 152-ФЗ, в том числе:

• назначение ответственного за организацию обработки персональных данных;
• издание локальных актов по вопросам обработки и защиты персональных данных, ознакомление с ними работников;
• разграничение прав доступа к информационным системам, ведение журнала действий пользователей;
• передача данных по защищённому каналу (TLS), хранение паролей только в виде криптографических хешей (argon2), хранение токенов доступа в виде хешей;
• резервное копирование, контроль за принимаемыми мерами и оценка вреда, который может быть причинён субъектам.

15. Действия при инцидентах

При установлении факта неправомерной или случайной передачи (доступа) персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о произошедшем инциденте и в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 152-ФЗ), а также информирует затронутых субъектов.

16. Изменение Политики

Оператор вправе вносить изменения в настоящую Политику. Актуальная редакция с указанием даты вступления в силу публикуется по адресу https://together-wedding.ru/legal/privacy. Если изменения существенно затрагивают права субъектов, Оператор дополнительно уведомляет Пользователей по электронной почте.