Политика в отношении
обработки персональных данных

Общие положения

Настоящая Политика определяет порядок обработки и защиты персональных данных Обществом с ограниченной ответственностью «ЦИФРОВЫЕ РЕШЕНИЯ» (далее - Оператор) при использовании сайта cifra.global, его поддоменов, веб-форм, электронной почты, мессенджеров, а также при заключении и исполнении договоров.

Политика разработана во исполнение Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», прежде всего статей 5, 6, 7, 9, 12, 14, 18, 18.1, 19 и 21, и применяется совместно с иными нормами законодательства Российской Федерации.

Политика распространяется на посетителей сайта, заявителей, потенциальных и действующих клиентов, их представителей, выгодоприобретателей и иных лиц, чьи данные законно переданы Оператору. Лицо, передающее данные другого субъекта, обязано иметь для этого надлежащее основание и по запросу Оператора подтвердить его.

Основные термины

Персональные данные

любая информация, относящаяся к прямо или косвенно определённому либо определяемому физическому лицу.

Обработка

любое действие с данными: сбор, запись, систематизация, хранение, уточнение, извлечение, использование, передача, обезличивание, блокирование, удаление или уничтожение.

Автоматизированная обработка

обработка с применением средств вычислительной техники.

Предоставление

раскрытие данных определённому лицу или определённому кругу лиц.

Распространение

раскрытие данных неопределённому кругу лиц. Оператор не распространяет данные без отдельного законного основания.

Блокирование

временное прекращение обработки, кроме случаев, когда она нужна для уточнения данных.

Обезличивание

действия, после которых без дополнительной информации нельзя определить принадлежность данных субъекту.

Уничтожение

действия, после которых восстановить данные в информационной системе или на материальном носителе невозможно.

Cookies

небольшие фрагменты данных, которые сайт сохраняет на устройстве для работы интерфейса, безопасности, настроек и - при наличии согласия - аналитики.

Трансграничная передача

передача данных на территорию иностранного государства иностранному органу, физическому или юридическому лицу.

Принципы обработки

Оператор обрабатывает персональные данные на законной и справедливой основе и соблюдает следующие правила:

• заранее определяет конкретную и законную цель обработки;
• не объединяет базы данных, созданные для несовместимых целей;
• обрабатывает только те данные, которые необходимы и соразмерны цели;
• поддерживает точность и актуальность данных, исправляет или удаляет неточные сведения;
• ограничивает срок хранения целью обработки, договором или требованием закона;
• уничтожает либо обезличивает данные после достижения цели, если закон не требует их сохранить;
• обеспечивает конфиденциальность и контролируемый доступ к данным.

Оператор не принимает решения, порождающие юридические последствия для субъекта, исключительно на основании автоматизированной обработки, если иное прямо не предусмотрено законом или письменным согласием субъекта.

Цели, субъекты и состав данных

Конкретный состав данных зависит от характера обращения и стадии взаимодействия. Оператор не запрашивает документы и сведения, которые не нужны для заявленной задачи.

Правовые основания

В зависимости от цели Оператор обрабатывает данные на одном или нескольких основаниях:

• согласие субъекта, отвечающее требованиям статьи 9 Закона № 152-ФЗ;
• необходимость заключить договор по инициативе субъекта или исполнить договор с ним;
• исполнение функций и обязанностей, возложенных законодательством Российской Федерации;
• осуществление прав и законных интересов Оператора или третьих лиц при условии, что права и свободы субъекта не нарушаются;
• обработка сведений, подлежащих обязательному раскрытию по федеральному закону.

К отношениям с клиентами и контрагентами, когда это применимо, могут относиться Федеральный закон № 115-ФЗ о ПОД/ФТ, Федеральный закон № 173-ФЗ о валютном регулировании и валютном контроле, Федеральный закон № 259-ФЗ о цифровых финансовых активах и цифровой валюте, налоговое, бухгалтерское и иное применимое законодательство.

Если обязательное согласие отозвано, Оператор прекращает основанную на нём обработку. Обработка может быть продолжена только при наличии другого самостоятельного основания, прямо предусмотренного законом.

Источники данных и cookies

Оператор получает данные:

• непосредственно от субъекта через веб-форму, e-mail, телефон, мессенджер, документы или при заключении договора;
• от уполномоченного представителя, контрагента или иного лица, обязанного иметь законное основание для передачи;
• из государственных реестров, открытых источников и систем проверки контрагентов - в объёме, необходимом для комплаенса;
• автоматически от устройства посетителя при обращении к сайту.

Файлы cookies

Необходимые cookies обеспечивают базовую работу сайта, сохранение пользовательских настроек, защиту форм и предотвращение злоупотреблений. Они используются в минимальном объёме, без которого сайт не может корректно или безопасно работать.

Аналитические и маркетинговые cookies, если они подключены, активируются только после выбора пользователя в баннере согласия. Пользователь может отказаться от них или изменить выбор через настройки сайта и браузера. Отказ от необязательных cookies не ограничивает доступ к основному содержанию.

Изменить выбор можно через настройки баннера или браузера. Очистка cookies не отменяет законность обработки, выполненной до изменения настроек. Дополнительно отзыв можно направить по адресу info@cifra.global.

Предоставление данных и поручение обработки

Оператор не продаёт персональные данные и не раскрывает их неопределённому кругу лиц. Доступ предоставляется только в необходимом объёме и при наличии договора, согласия либо иного законного основания.

Получателями или обработчиками данных могут быть:

• поставщики сайта, хостинга, веб-форм, CRM, электронной почты, телефонии и мессенджеров;
• поставщики облачной инфраструктуры, резервного копирования, информационной безопасности и технической поддержки;
• банки, платёжные, расчётные, комплаенс- и AML-сервисы - когда это необходимо для договора и проверки;
• аудиторы, бухгалтерские, юридические и иные профессиональные консультанты, связанные конфиденциальностью;
• государственные органы, суды и иные уполномоченные лица - в случаях и порядке, предусмотренных законом.

Лицу, обрабатывающему данные по поручению Оператора, устанавливаются цели, перечень операций, обязанности по конфиденциальности и безопасности, требования к подтверждению принятых мер и уведомлению об инцидентах. Самостоятельные операторы обрабатывают полученные данные по собственным правилам и несут ответственность в пределах своей деятельности.

Локализация и трансграничная передача

При сборе персональных данных граждан Российской Федерации, в том числе через интернет, Оператор обеспечивает запись, систематизацию, накопление, хранение, уточнение и извлечение с использованием баз данных, находящихся на территории Российской Федерации, кроме предусмотренных законом исключений (часть 5 статьи 18 Закона № 152-ФЗ).

До начала трансграничной передачи Оператор выполняет требования статьи 12 Закона № 152-ФЗ: оценивает соблюдение иностранным получателем конфиденциальности и безопасности, запрашивает необходимые сведения, определяет цель и объём передачи и направляет отдельное уведомление в Роскомнадзор, когда оно требуется.

Если для конкретной передачи закон требует согласия, оно запрашивается заранее. При запрете или ограничении Роскомнадзора передача не начинается либо прекращается. Привлечение зарубежного сервиса не отменяет обязанностей Оператора по локализации первичной базы и защите прав субъекта.

Защита персональных данных

Оператор принимает необходимые и достаточные правовые, организационные и технические меры с учётом характера данных, угроз, способа обработки и возможного вреда субъектам. В частности:

• назначает ответственного и утверждает локальные акты по обработке и защите данных;
• учитывает информационные системы и носители, определяет угрозы и уровни защищённости;
• разграничивает доступ по служебной необходимости, применяет аутентификацию и регистрирует значимые действия;
• использует средства защиты, безопасную конфигурацию, резервное копирование и контроль уязвимостей;
• обучает работников, устанавливает обязательства о конфиденциальности и контролирует соблюдение правил;
• проводит внутренний контроль, оценку возможного вреда и проверку достаточности мер;
• выявляет инциденты, восстанавливает данные, блокирует неправомерный доступ и фиксирует принятые меры;
• подтверждает уничтожение данных актом и/или выгрузкой из журнала событий в предусмотренных случаях.

Меры формируются с учётом Постановления Правительства РФ от 01.11.2012 № 1119, приказа ФСТЭК России от 18.02.2013 № 21 и приказа Роскомнадзора от 28.10.2022 № 179.

Права субъекта и порядок обращения

Субъект персональных данных вправе:

• получить сведения об обработке своих данных и ознакомиться с ними;
• потребовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или избыточных данных;
• отозвать согласие и потребовать прекратить обработку, осуществляемую на его основании;
• в любой момент отказаться от рекламных и информационных сообщений;
• установить запреты и условия в отношении данных, разрешённых для распространения;
• обжаловать действия Оператора в Роскомнадзор или в суд и требовать защиты своих прав.

Сведения предоставляются в течение 10 рабочих дней с даты получения запроса; срок может быть продлён не более чем на 5 рабочих дней с направлением мотивированного уведомления. Иные требования исполняются в сроки, установленные статьями 20 и 21 Закона № 152-ФЗ. Отказ должен быть мотивирован и содержать ссылку на применимое основание.

При отзыве согласия Оператор прекращает соответствующую обработку и, если иное основание отсутствует, уничтожает данные в срок до 30 дней, если соглашением не предусмотрен более короткий срок. Отзыв не влияет на законность обработки, выполненной до его получения.

Хранение, прекращение обработки и уничтожение

Персональные данные хранятся в форме, позволяющей определить субъекта, не дольше, чем этого требуют цели обработки, договор или закон. Для разных целей сроки могут различаться; ориентиры приведены в разделе 4.

Обработка прекращается, когда:

• достигнута цель либо утрачена необходимость в её достижении;
• истёк срок согласия или получен его отзыв и отсутствует иное основание;
• удовлетворено законное требование субъекта о прекращении обработки;
• обнаружена неправомерная обработка, которую невозможно сделать правомерной;
• прекращена деятельность Оператора, если правопреемник не продолжает обработку на законном основании.

Электронные записи удаляются из рабочих систем и затем - из резервных копий по установленному циклу перезаписи; бумажные носители уничтожаются способом, исключающим восстановление. Если немедленное уничтожение технически невозможно, данные блокируются и уничтожаются в установленный законом срок. Факт уничтожения подтверждается в порядке приказа Роскомнадзора № 179.

Действия при инцидентах

При выявлении неправомерной или случайной передачи данных, повлекшей нарушение прав субъектов, Оператор ограничивает доступ, фиксирует обстоятельства, принимает меры по снижению вреда и проводит внутреннее расследование.

В предусмотренных законом случаях Оператор уведомляет Роскомнадзор: в течение 24 часов - о произошедшем инциденте, предполагаемых причинах, возможном вреде и первичных мерах; в течение 72 часов - о результатах внутреннего расследования и лицах, действия которых стали причиной инцидента, если они установлены.

Оператор сохраняет доказательства и журналы, устраняет уязвимость, пересматривает меры защиты и взаимодействует с субъектами и компетентными органами в объёме, необходимом для защиты прав и исполнения закона.

Заключительные положения

Политика действует с даты публикации до замены новой редакцией. Оператор пересматривает документ при изменении законодательства, процессов обработки, состава данных или применяемых информационных систем.

Новая редакция публикуется по адресу cifra.global/confidentiality. Существенные изменения могут дополнительно доводиться доступным способом. К обработке, выполненной до обновления, применяется редакция, действовавшая на соответствующую дату, если законом не установлено иное.