Политика обработки персональных данных

1. Общие положения

1.1. Настоящая Политика определяет, как ООО «ГИП» (далее — Оператор) обрабатывает и защищает персональные данные, в том числе полученные через сайт https://sds5000.ru и его зеркало https://сдс5000.рф (далее вместе — Сайт). Политика принята во исполнение ч. 2 ст. 18.1 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — Закон).

1.2. Политика опубликована на Сайте и доступна без ограничений. Ссылка на неё размещена в подвале каждой страницы и рядом с каждой формой, через которую собираются персональные данные.

1.3. Термины используются в значении, установленном ст. 3 Закона.

2. Оператор

Общество с ограниченной ответственностью «Гаврилов и партнеры» (ООО «ГИП»)

ИНН 5610238469, ОГРН 1205600004334, КПП 561001001;
адрес: 460000, Оренбургская область, г. Оренбург, пер. Свободина, д. 4, офис 604;
e-mail для обращений по персональным данным: office [собака] sds5000.ru;
телефон: +7 (987) 847-38-14;
ответственный за организацию обработки персональных данных — директор Гаврилов Виталий Александрович.

ООО «ГИП» является центральным органом и владельцем системы добровольной сертификации «СДС 5000» (регистрационный № РОСС RU.32865.04ПГВ0).

3. Цели, категории субъектов, состав данных, основания и сроки

Цель	Чьи данные	Какие данные	Основание	Срок обработки
1. Рассмотрение заявки, поданной на Сайте, связь с заявителем, ответы на обращения	Лица, оставившие заявку или обращение	ФИО, адрес электронной почты, номер телефона, текст обращения	Согласие (п. 1 ч. 1 ст. 6 Закона)	До достижения цели или отзыва согласия, но не более 1 года со дня заявки, если договор не заключён
2. Проведение сертификации: проверка документов, квалификационный экзамен, оформление и выдача сертификата	Заявители на сертификацию	ФИО, данные паспорта, адрес регистрации и адрес доставки, ИНН, телефон, e-mail, сведения об образовании, квалификации, стаже, месте работы и должности, характеристика с места работы, фотография, обезличенные образцы экспертных заключений	Согласие; договор, стороной которого является субъект (п. 1 и 5 ч. 1 ст. 6 Закона)	Срок действия сертификата и 3 года после его окончания
3. Ведение и публикация на Сайте реестра сертифицированных экспертов	Эксперты, получившие сертификат	ФИО, направление экспертизы, номер сертификата, даты выдачи и окончания действия, статус	Согласие на обработку персональных данных, разрешённых для распространения (ст. 10.1 Закона)	Срок, указанный в согласии на распространение, или до требования о прекращении распространения
4. Заключение и исполнение договора, расчёты, доставка бумажного сертификата, бухгалтерский и налоговый учёт	Заявители, плательщики	ФИО, реквизиты плательщика, адрес доставки, телефон, e-mail	Договор (п. 5 ч. 1 ст. 6 Закона); исполнение обязанностей по закону (п. 2 ч. 1 ст. 6 Закона, Федеральный закон № 402-ФЗ, НК РФ)	5 лет после окончания года, в котором исполнен договор
5. Анализ посещаемости и улучшение работы Сайта	Посетители Сайта, принявшие аналитические cookie	Файлы cookie, IP-адрес, сведения о браузере и устройстве, источник перехода, просмотренные страницы и действия на Сайте	Согласие (п. 1 ч. 1 ст. 6 Закона)	До отзыва согласия; в сервисе Яндекс.Метрика — по правилам этого сервиса
6. Защита форм Сайта от автоматических (спам) отправок	Лица, отправляющие форму заявки	Идентификатор сессии и служебный код проверки «Я не робот»; IP-адрес в журналах сервера	Законный интерес Оператора в защите Сайта (п. 7 ч. 1 ст. 6 Закона)	Код проверки — до отправки формы, не более 30 минут; журналы сервера — по сроку хранения у провайдера хостинга

3.1. Специальные категории персональных данных (в том числе сведения о судимости, состоянии здоровья) и биометрические персональные данные Оператор не обрабатывает. Фотография заявителя используется только для размещения на сертификате и не применяется для установления личности.

3.2. Образцы экспертных заключений принимаются только обезличенными: фамилии, имена, адреса и иные сведения об участниках процессов должны быть удалены (закрыты) заявителем до направления Оператору. Заключения, содержащие такие сведения, Оператор не рассматривает и удаляет.

3.3. Данные лиц младше 18 лет Оператор сознательно не собирает.

4. Принципы и условия обработки

4.1. Обработка ведётся законно и справедливо, только для целей, указанных в разделе 3. Базы данных, обрабатываемые в несовместимых между собой целях, не объединяются.

4.2. Состав и объём данных соответствуют заявленным целям и не являются избыточными.

4.3. Оператор обеспечивает точность данных и принимает меры по удалению или уточнению неполных и неточных данных.

4.4. Данные хранятся не дольше, чем этого требуют цели обработки, если иной срок не установлен федеральным законом или договором.

5. Действия с персональными данными

5.1. Оператор совершает с персональными данными следующие действия: сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (предоставление, доступ), блокирование, удаление, уничтожение. Распространение — только для цели 3 и только при наличии согласия на распространение.

5.2. Обработка смешанная: с использованием средств автоматизации и без них, с передачей по сети Интернет.

5.3. При сборе персональных данных, в том числе через Сайт, запись, систематизация, накопление, хранение, уточнение и извлечение персональных данных граждан Российской Федерации ведутся с использованием баз данных, находящихся на территории Российской Федерации.

6. Передача третьим лицам

6.1. Оператор может поручить обработку персональных данных другим лицам на основании договора, содержащего требования ч. 3 ст. 6 Закона: провайдеру хостинга Сайта и почтового сервиса (хранение данных Сайта и писем с документами), ООО «Яндекс», ИНН 7736207543 (сервис Яндекс.Метрика, цель 5).

6.2. Данные передаются банкам — для проведения расчётов; АО «Почта России» или курьерской службе — для доставки бумажного сертификата; государственным органам — в случаях, предусмотренных законом.

6.3. Трансграничная передача персональных данных не осуществляется. Защита формы от спама («Я не робот») работает на сервере Оператора без привлечения сторонних сервисов.

7. Файлы cookie и Яндекс.Метрика

7.1. Сайт использует необходимые файлы cookie (запоминают выбор посетителя в отношении cookie и обеспечивают работу формы) и аналитические файлы cookie сервиса Яндекс.Метрика (ООО «Яндекс», 119021, г. Москва, ул. Льва Толстого, д. 16).

7.2. Яндекс.Метрика собирает сведения о посещениях: IP-адрес, тип браузера и устройства, источник перехода, просмотренные страницы, время на Сайте, записи сеансов (Вебвизор). Содержимое полей формы заявки в записи сеансов не передаётся.

7.3. Аналитические cookie и Яндекс.Метрика включаются только после того, как посетитель нажмёт «Принять» в уведомлении о cookie. Отказ не ограничивает работу Сайта. Изменить выбор можно в любой момент по ссылке «Настройки cookie» в подвале Сайта, а также удалить cookie в настройках браузера или установить блокировщик Яндекс.Метрики.

8. Права субъекта персональных данных

Субъект персональных данных вправе:

получать сведения об обработке своих персональных данных (ч. 7 ст. 14 Закона);
требовать уточнения, блокирования или уничтожения данных, если они неполные, устаревшие, неточные, получены незаконно или не нужны для заявленной цели;
отозвать согласие на обработку персональных данных;
потребовать прекратить распространение своих данных в реестре экспертов;
обжаловать действия Оператора в Роскомнадзор или в суд.

9. Как обратиться и в какие сроки отвечает Оператор

9.1. Запрос или отзыв согласия направляется письмом по адресу Оператора или на office [собака] sds5000.ru. Запрос должен содержать ФИО, сведения, подтверждающие отношения с Оператором (например, дату заявки или номер сертификата), и подпись субъекта или его представителя; в электронном виде — электронную подпись или скан подписанного документа.

9.2. Сроки ответа:

Обращение	Срок
Запрос сведений об обработке	10 рабочих дней; может быть продлён на 5 рабочих дней с мотивированным уведомлением
Уточнение неточных данных	7 рабочих дней после получения подтверждающих сведений
Отзыв согласия	Прекращение обработки и уничтожение данных в течение 30 дней, если нет иного законного основания для обработки
Требование прекратить распространение данных в реестре	3 рабочих дня

10. Меры защиты

Оператор:

назначил ответственного за организацию обработки персональных данных;
утвердил настоящую Политику и локальные акты по обработке и защите персональных данных;
допускает к данным только работников, которым они нужны для работы, и знакомит их с требованиями законодательства;
использует пароли, разграничение доступа, защищённое соединение (HTTPS), антивирусную защиту и резервное копирование;
хранит бумажные документы в запираемых шкафах;
проводит внутренний контроль соответствия обработки требованиям Закона.

11. Уничтожение данных и инциденты

11.1. По достижении цели, истечении срока обработки или отзыве согласия данные уничтожаются. Уничтожение подтверждается актом или выгрузкой из журнала по форме, установленной Роскомнадзором.

11.2. При неправомерной или случайной передаче персональных данных Оператор уведомляет Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов — о результатах внутреннего расследования.

12. Заключительные положения

12.1. Оператор вправе изменять Политику. Новая редакция действует с момента публикации на Сайте, если в ней не указано иное.

12.2. Вопросы по Политике можно направить на office [собака] sds5000.ru.

12.3. Связанные документы: Согласие на обработку персональных данных (форма заявки на Сайте); бланки согласий заявителя и согласия на включение в реестр — на странице «Документы».

Политика в отношении обработки персональных данных