Политика

Акционерного общества «Л’Ореаль» в отношении обработки персональных данных на веб-сайте vichy.ru

г. Москва 2026 г.

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1 Назначение документа

Настоящая Политика в отношении обработки персональных данных (далее – «Политика», «ПДн») разработана в соответствии с п. 2 ч. 1 ст. 18.1 Федерального закона РФ от 27.07.2006 №152-ФЗ «О персональных данных» и другими нормативными актами РФ и определяет основные принципы и порядок обработки ПДн, а также реализуемые в АО «Л’Ореаль», зарегистрированное по адресу: 125047, город Москва, пл. Тверская Застава, д. 4, ОГРН 1027700054986, ИНН 7726059896 (далее – Компания) меры по обеспечению безопасности ПДн при осуществлении установленных в Уставе видов деятельности при обработке ПДн на вебсайте vichy.ru («Сайт»).

В отношении использования cookie-файлов Компанией на Сайте была принята отдельная Политика использования cookie-файлов, опубликованная на вебсайте vichy.ru.

Данная Политика регулируется российским законодательством. Время от времени в Политику будут вноситься изменения. Новая редакция Политики вступает в силу для всех Субъектов ПДн без предварительного уведомления со стороны Компании.

1.2 Область действия

Действие настоящей Политики распространяется на процессы по сбору, записи, систематизации, накоплению, хранению, уточнению (обновлению, изменению), извлечению, использованию, передаче (предоставлению, доступу, распространению), блокированию, удалению, обезличиванию, уничтожению ПДн, осуществляемые как с использованием средств вычислительной техники (средств автоматизации), в том числе с использованием информационно-телекоммуникационных сетей, так и без использования таких средств.

Настоящая Политика вступает в силу для Компании с даты ее утверждения (если Компанией не установлена иная дата ее вступления в силу). Любые изменения Политики вступают в силу в таком же порядке.

1.3 ИСПОЛЬЗУЕМЫЕ СОКРАЩЕНИЯ

ИСПДн – Информационная система персональных данных

ПДн – Персональные данные

РФ – Российская Федерация

1.4 ИСПОЛЬЗУЕМЫЕ ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ

Автоматизированная обработка ПДн - обработка ПДн с помощью средств вычислительной техники.

Блокирование ПДн - временное прекращение обработки ПДн (за исключением случаев, когда обработка необходима для уточнения ПДн).

Информационная система ПДн - совокупность содержащихся в базах данных ПДн и обеспечивающих их обработку информационных технологий и технических средств.

Компания / Работодатель / Общество - Акционерное общество «Л'Ореаль», зарегистрированное по адресу: 125047, город Москва, пл Тверская Застава, д. 4, ОГРН 1027700054986, ИНН 7726059896.

Конфиденциальность ПДн - обязательное для соблюдения Компанией или иными лицами, получившими доступ к ПДн, требование не раскрывать третьим лицам и не распространять ПДн без согласия Субъекта ПДн или наличия иного основания, установленного федеральным законом.

Неавтоматизированная обработка ПДн - любые действия с ПДн, при условии, что использование, уточнение, распространение и уничтожение ПДн осуществляются при непосредственном участии человека.

Обезличивание ПДн - действия, в результате которых становится невозможно без использования дополнительной информации определить принадлежность ПДн конкретному Субъекту ПДн.

Обработка ПДн - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с ПДн, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение ПДн.

Обработчик ПДн - лицо, осуществляющее обработку ПДн на основании соответствующего поручения (инструкций) Оператора.

Оператор - государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку ПДн, а также определяющие цели обработки ПДн, состав ПДн.

Персональные данные (ПДн) - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (Субъекту ПДн).

Субъект ПДн - физическое лицо, обладающее ПДн прямо или косвенно его определяющими.

Трансграничная передача ПДн - передача ПДн на территорию иностранного государства органу власти иностранного государства, иностранному физическому лицу или иностранному юридическому лицу.

Уничтожение ПДн - действия, в результате которых становится невозможным восстановить содержание ПДн в информационной системе ПДн и (или) в результате которых уничтожаются материальные носители ПДн.

1.5 Утверждение и пересмотр

Настоящая Политика вступает в силу с момента ее утверждения Генеральным директором Компании и действует бессрочно.

Компания проводит пересмотр положений настоящей Политики и их актуализацию по мере необходимости, а также в следующих случаях:

— при изменении положений законодательства РФ в области ПДн;

— при создании новых или внесении изменений в существующие процессы обработки ПДн;

— по решению руководства Компании.

2. Принципы и цели обработки персональных данных

При организации обработки ПДн Компания руководствуется следующими принципами:

• — обработка ПДн осуществляется на законной и справедливой основе;
• — обработка ПДн ограничивается достижением конкретных, заранее определенных и законных целей;
• — не допускается объединение баз данных, содержащих ПДн, обработка которых осуществляется в целях, несовместимых между собой;
• — обработке подлежат только ПДн, которые отвечают целям их обработки;
• — содержание и объем обрабатываемых ПДн соответствуют заявленным целям обработки;
• — при обработке ПДн обеспечивается точность ПДн, их достаточность и актуальность по отношению к целям обработки ПДн;

Компания осуществляет хранение ПДн в форме, позволяющей определить Субъекта ПДн, не дольше, чем этого требуют цели обработки ПДн, если срок хранения ПДн не установлен законодательством, договором, стороной которого является Субъект ПДн, а также согласием Субъекта ПДн на обработку его ПДн.

Компания в своей деятельности исходит из того, что Субъект ПДн предоставляет точную и достоверную информацию, во время взаимодействия с Компанией, извещает Компанию об изменении своих ПДн, и не принимает на себя каких-либо обязательств по проверке полученных ПДн, хотя и оставляет за собой право при необходимости выполнить такую проверку законными способами.

Компания производит обработку ПДн, в соответствии с договорными обязательствами (исполнение соглашений, договоров и обязательств), общехозяйственной деятельностью Компании, а также в соответствии с требованиями законодательства РФ в области ПДн.

Категории Субъектов ПДн, чьи ПДн обрабатываются в Компании, а также цели обработки определены в Приложении 1 к настоящей Политике.

3. Условия обработки персональных данных субъектов персональных данных и их передачи третьим лицам

Обработка ПДн Компанией допускается в следующих случаях:

• • при наличии согласия Субъекта ПДн на обработку его ПДн;
• • обработка необходима для достижения целей, предусмотренных законодательством, а также для осуществления и выполнения возложенных законодательством на Компанию функций, полномочий и обязанностей;
• • для заключения договора по инициативе Субъекта ПДн и исполнения договора, стороной которого или выгодоприобретателем, по которому является Субъект ПДн. Такими договорами, без ограничения, являются трудовые договоры с работниками, договоры страхования, в которых работники и члены семей работников являются выгодоприобретателями, договоры гражданско-правового характера с контрагентами - физическими лицами;
• • обработка необходима для осуществления прав и законных интересов Компании и/или третьих лиц либо для достижения общественно значимых целей при условии, что при этом не нарушаются права и свободы Субъектов ПДн;
• • обработка осуществляется в статистических или иных исследовательских целях при условии обязательного обезличивания ПДн;
• • обработка ПДн, разрешенных Субъектом ПДн для распространения;

ПДн подлежат опубликованию или обязательному раскрытию в соответствии с законодательством.

При обработке ПДн Субъекта ПДн обеспечивается их конфиденциальность, целостность и доступность.

Компания не раскрывает третьим лицам и не распространяет ПДн без согласия Субъекта ПДн, если иное не предусмотрено законодательством, договором с Субъектом ПДн, не указано в полученном от него согласии на обработку ПДн.

Компания не обрабатывает биометрические ПДн.

При сборе ПДн Компания обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн с использованием баз данных, находящихся на территории Российской Федерации.

Компания не осуществляет принятие решений, порождающих юридические последствия в отношении Субъектов ПДн или иным образом затрагивающих их права и законные интересы, на основании исключительно автоматизированной обработки ПДн.

Передача и раскрытие ПДн третьим лицам

Компания вправе передать ПДн Субъекта ПДн третьим лицам в следующих случаях:

• — Субъект ПДн предоставил в установленной форме согласие на передачу ПДн;
• — передача ПДн осуществляется на основании заключаемого с Субъектом ПДн договора, разработанного с учетом требований Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных».

Компания может поручить обработку ПДн другому лицу (Обработчик ПДн) при выполнении следующих условий:

• — Субъект ПДн предоставил в установленной форме согласие на поручение обработки его ПДн другому лицу;
• — поручение обработки ПДн осуществляется на основании заключаемого с Субъектом ПДн договора, разработанного с учетом требований Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных».

В поручении Компании должны быть определены перечень действий (операций) с ПДн, которые будут совершаться лицом, осуществляющим обработку ПДн, цели обработки, перечень обрабатываемых по поручению ПДн, должна быть установлена обязанность такого лица соблюдать конфиденциальность ПДн и обеспечивать безопасность ПДн при их обработке, по запросу Компании в течение срока действия поручения, в том числе до обработки ПДн, предоставлять документы и иную информацию, подтверждающие принятие мер и соблюдение в целях исполнения поручения оператора требований, установленных ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», об уведомлении Компании о фактах неправомерной или случайной передачи (предоставления, распространения, доступа) ПДн, повлекшей нарушение прав Субъектов ПДн, а также требования к защите обрабатываемых ПДн в соответствии со ст. 19 Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных».

Лицо, осуществляющее обработку ПДн по поручению Компании, обязано соблюдать принципы и правила обработки ПДн и несет ответственность перед Компанией.

Компания ведет учет третьих лиц, которым передаются ПДн, включая Обработчиков ПДн.

До передачи ПДн третьим лицам (включая Обработчиков ПДн), находящимся в России, Компания обеспечивает, чтобы:

• — у нее были для этого законные основания;
• — такие третьи лица приняли на себя обязательство об обеспечении безопасности и конфиденциальности ПДн, а также по применению юридических, организационных и технических мер защиты данных.

Компания несет ответственность перед Субъектом ПДн за действия лица, которому Компания поручила обработку ПДн.

Компания не размещает ПДн Субъекта ПДн в общедоступных источниках и не распространяет ПДн неограниченному кругу лиц без предварительного согласия Субъекта ПДн.

4. Способы обработки персональных данных

Компания осуществляет обработку ПДн с использованием средств автоматизации, а также без использования таких средств.

В соответствии со ст. 18 ч. 5 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных», при сборе ПДн Компания обеспечивает запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение ПДн граждан РФ с использованием баз данных, находящихся на территории РФ, за исключением случаев:

• — обработка ПДн необходима для достижения целей, предусмотренных международным договором РФ или законом, для осуществления и выполнения возложенных законодательством РФ на Компанию функций, полномочий и обязанностей;
• — обработка ПДн осуществляется в связи с участием лица в конституционном, гражданском, административном, уголовном судопроизводстве, судопроизводстве в арбитражных судах;
• — обработка ПДН необходима для исполнения полномочий федеральных органов исполнительной власти, органов государственных внебюджетных фондов, исполнительных органов государственной власти Субъектов РФ, органов местного самоуправления и функций организаций, участвующих в предоставлении соответственно государственных и муниципальных услуг, предусмотренных Федеральным законом от 27.07.2010 № 210-ФЗ «Об организации предоставления государственных и муниципальных услуг», включая регистрацию Субъекта ПДн на едином портале государственных и муниципальных услуг и (или) региональных порталах государственных и муниципальных услуг;
• — обработка ПДн необходима для осуществления профессиональной деятельности журналиста и (или) законной деятельности средства массовой информации либо научной, литературной или иной творческой деятельности при условии, что при этом не нарушаются права и законные интересы Субъекта ПДн.

5. Блокирование и уничтожение персональных данных

Если блокирование ПДн не влечет нарушение прав и законных интересов Субъектов ПДн или третьих лиц, ПДн должны быть заблокированы незамедлительно после получения какого-либо из следующих запросов Субъекта ПДн или государственного органа:

• — запроса, направленного на прекращение незаконной обработки ПДн;
• — запроса об уточнении (исправлении) неполных, устаревших, неточных или недостоверных ПДн.

ПДн должны блокироваться до завершения расследования обстоятельств, являющихся предметом запроса и, где применимо, совершения необходимых в результате расследования шагов в зависимости от типа запроса и подтвержденных обстоятельств.

Документы, содержащие ПДн, подлежат хранению и уничтожению в порядке, предусмотренном настоящей Политикой, Инструкцией по уничтожению ПДн и архивным законодательством Российской Федерации.

Уничтожение документов, содержащих ПДн, производится:

• — в случае отзыва согласия Субъекта ПДн, если отсутствуют иные законные основания обработки ПДн;
• — по достижении целей их обработки или при утрате необходимости в их достижении;
• — при истечении предусмотренного согласием Субъекта ПДн или установленного локальными нормативными актами Компании срока обработки ПДн;
• — ПДн были получены незаконно или не являются необходимыми для достижения заявленных целей обработки, включая случаи, когда данные обстоятельства были выявлены в ходе рассмотрения (расследования) соответствующего запроса Субъекта ПДн и (или) государственного органа;
• — в случае выявления неправомерной обработки ПДн в срок, не превышающий 10 (десяти) рабочих дней с момента выявления неправомерной обработки ПДн;
• — при получении соответствующего предписания от уполномоченного органа по защите прав Субъектов ПДн;

В случае отсутствия возможности уничтожения ПДн в течение требуемого срока осуществляется блокирование таких ПДн и обеспечивается уничтожение ПДн в срок не более чем 6 (шесть) месяцев, если иной срок не установлен законодательством РФ в области ПДн.

В случае если обработка ПДн осуществляется без использования средств автоматизации, документом, подтверждающим уничтожение ПДн Субъектов ПДн, является акт об уничтожении ПДн.

В случае если обработка ПДн осуществляется с использованием средств автоматизации, документами, подтверждающими уничтожение ПДн Субъектов ПДн, являются акт об уничтожении ПДн и выгрузка из журнала регистрации событий в ИСПДн.

Уничтожение ПДн осуществляется согласно документу «Инструкция по уничтожению ПДн».

6. Трансграничная передача персональных данных

Компания в ходе своей деятельности может осуществлять трансграничную передачу ПДн. При этом вопросы обеспечения адекватной защиты прав Субъектов ПДн и обеспечения безопасности их ПДн при трансграничной передаче являются приоритетом для Компании, решение которых реализуется в соответствии с законодательством Российской Федерации в области ПДн.

С целью обеспечения безопасности ПДн при их обработке Компания принимает необходимые и достаточные правовые, организационные и технические меры для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн.

Перед осуществлением трансграничной передачи ПДн Компания обязана получить от органов власти иностранного государства, иностранных физических лиц, иностранных юридических лиц, которым планируется трансграничная передача ПДн, следующие сведения:

• 1) сведения о принимаемых органами власти иностранного государства, иностранными физическими лицами, иностранными юридическими лицами, которым планируется трансграничная передача ПДн, мерах по защите передаваемых ПДн и об условиях прекращения их обработки;
• 2) информация о правовом регулировании в области ПДн иностранного государства, под юрисдикцией которого находятся органы власти иностранного государства, иностранные физические лица, иностранные юридические лица, которым планируется трансграничная передача ПДн (в случае, если предполагается осуществление трансграничной передачи ПДн органам власти иностранного государства, иностранным физическим лицам, иностранным юридическим лицам, находящимся под юрисдикцией иностранного государства, не являющегося стороной Конвенции Совета Европы о защите физических лиц при автоматизированной обработке ПДн и не включенного в перечень иностранных государств, обеспечивающих адекватную защиту прав Субъектов ПДн);
• 3) сведения об органах власти иностранного государства, иностранных физических лицах, иностранных юридических лицах, которым планируется трансграничная передача ПДн (наименование либо фамилия, имя и отчество, а также номера контактных телефонов, почтовые адреса и адреса электронной почты).

Компания до начала осуществления деятельности по трансграничной передаче ПДн обязана уведомить уполномоченный орган по защите прав субъектов ПДн о своем намерении осуществлять трансграничную передачу ПДн согласно требованиям законодательства РФ.

7. ПРАВА СУБЪЕКТА НА ДОСТУП И ИЗМЕНЕНИЕ ЕГО ПЕРСОНАЛЬНЫХ ДАННЫХ

Для обеспечения соблюдения установленных законодательством прав Субъектов ПДн, в Компании разработан и введен порядок работы с обращениями и запросами Субъектов ПДн, а также порядок предоставления Субъектам ПДн информации, установленной законодательством РФ в области ПДн.

Компания предпринимает разумные меры для поддержания точности и актуальности, имеющихся у Компании ПДн, а также удаления устаревших и других недостоверных или излишних ПДн. Субъект ПДн несёт ответственность за предоставление достоверных сведений ПДн, а также за обновление предоставленных ПДн в случае каких-либо изменений.

Данный порядок обеспечивает соблюдение следующих прав Субъекта ПДн:

• — право на получение информации, касающейся обработки ПДн соответствующего Субъекта ПДн, в том числе содержащей:
• • подтверждение факта обработки ПДн;
• • правовые основания и цели обработки ПДн;
• • цели и применяемые Компанией способы обработки ПДн;
• • наименование и место нахождения Компании, сведения о лицах (за исключением работников Компании), которые имеют доступ к ПДн или которым могут быть раскрыты ПДн на основании договора с Компанией или на основании иных требований Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• • обрабатываемые ПДн, относящиеся к соответствующему Субъекту ПДн, источник их получения, если иной порядок представления таких ПДн не предусмотрен Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• • сроки обработки ПДн, в том числе сроки их хранения;
• • порядок осуществления Субъектом ПДн прав, предусмотренных Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• • информацию об осуществляемой или о предполагаемой трансграничной передаче ПДн;
• • наименование или фамилию, имя, отчество и адрес лица, осуществляющего обработку ПДн по поручению Компании, если обработка поручена или будет поручена такому лицу;
• • иные сведения, предусмотренные Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных» или другими требованиями законодательства в области ПДн.
• — право отозвать согласие на обработку Компанией ПДн;
• — право требовать извещения Компанией всех лиц, которым ранее были сообщены неверные или неполные ПДн, обо всех произведенных в них исключениях, исправлениях или дополнениях;
• — право на уточнение(исправление), блокирование или уничтожение своих ПДн, если ПДн являются неполными, устаревшими, неточными, незаконно полученными или не являются необходимыми для заявленной цели обработки, а также право принимать предусмотренные законодательством РФ в области ПДн меры по защите своих прав;
• — осуществлять свободный доступ к своим ПДн, включая право получать копии любой записи, содержащей ПДн, за исключением случаев, предусмотренных законодательством РФ в области ПДн;
• — обжаловать в суде (ином уполномоченном органе) любые неправомерные действия или бездействие Компании при обработке и защите ПДн;
• — осуществлять иные права в сфере защиты ПДн в соответствии с российским законодательством.

Субъект ПДн может реализовать вышеуказанные права путем направления письменного запроса на официальный адрес Компании: 125047, город Москва, пл Тверская Застава, д. 4, в Акционерное общество «Л'Ореаль» с пометкой «запрос касательно персональных данных» или на электронный адрес Компании: [email protected]. Запрос также может быть направлен в форме электронного документа и подписан электронной подписью в соответствии с законодательством РФ.

Запрос Субъекта ПДн должен содержать номер основного документа, удостоверяющего личность Субъекта ПДн или его представителя, сведения о дате выдачи указанного документа и выдавшем его органе, сведения, подтверждающие, что Субъект ПДн состоит в отношениях с Компанией (номер договора, дата заключения договора, условное словесное обозначение и (или) иные сведения), либо сведения, иным образом подтверждающие факт обработки ПДн Компанией, подпись Субъекта ПДн или его представителя.

В случае, если ПДн были получены Компанией от Субъекта ПДн через веб-сайты, мобильные приложения допускается обработка запроса от Субъекта ПДн, направленного на электронную почту [email protected]. При этом запрос должен включать в себя информацию, подтверждающую факт обработки ПДн субъекта ПДн со стороны Компании (например, фамилию, имя, отчество (при наличии), контактную информацию (номер телефона, адрес электронной почты или почтовый адрес) Субъекта ПДн), а также перечень ПДн, обработка которых подлежит прекращению.

8. Обязанности и права Компании

В соответствии с требованиями Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных» Компания обязуется:

• — осуществлять обработку ПДн с соблюдением принципов и правил, предусмотренных Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• — не раскрывать третьим лицам и не распространять ПДн без согласия Субъекта ПДн, если иное не предусмотрено Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• — представлять доказательство получения согласия Субъекта ПДн на обработку его ПДн или доказательство наличия оснований, в соответствии с которыми такое согласие не требуется;
• — осуществлять обработку ПДн только с согласия в письменной форме Субъекта ПДн, в случаях, предусмотренных Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• — представлять Субъекту ПДн или его представителю по запросу информацию, касающуюся обработки ПДн соответствующего Субъекта ПДн, либо предоставить мотивированный отказ в предоставлении указанной информации, содержащий ссылку на положения Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных», в срок, не превышающий 10 (десяти) рабочих дней со дня обращения Субъекта ПДн или его представителя.
• — разъяснять Субъекту ПДн юридические последствия отказа предоставить его ПДн, если предоставление ПДн является обязательным в соответствии с Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;
• — принимать необходимые правовые, организационные и технические меры или обеспечивать их принятие для защиты ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения ПДн, а также от иных неправомерных действий в отношении ПДн;
• — вносить изменения в обрабатываемые ПДн по требованию Субъекта ПДн или его представителя, в случае подтверждения факта неточности обрабатываемых ПДн соответствующего Субъекта ПДн в течение 7 (семи) рабочих дней;
• — блокировать обработку ПДн в случае выявления неправомерной обработки при обращении Субъекта ПДн или его представителя, если блокирование ПДн не нарушает права и законные интересы соответствующего Субъекта ПДн или третьих лиц;
• — уничтожать ПДн соответствующего Субъекта ПДн в срок, не превышающий 10 (десяти) рабочих дней, в случае если обеспечить правомерность обработки ПДн невозможно, если иной срок не установлен действующим законодательством;
• — уведомлять Субъекта ПДн или его представителя обо всех изменениях, касающихся соответствующего Субъекта ПДн;
• — вести журнал учета обращений Субъектов ПДн, в котором фиксируются все запросы и обращения Субъекта ПДн или его представителя;
• — прекращать обработку и уничтожать ПДн соответствующего Субъекта ПДн, в случае достижения цели обработки ПДн в срок, не превышающий 30 (тридцати) дней с даты достижения цели обработки ПДн, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является Субъект ПДн, иным соглашением между Компанией и Субъектом ПДн, либо Федеральным законом РФ от 27.07.2006 № 152-ФЗ «О персональных данных» или другими федеральными законами;
• — прекращать обработку ПДн и уничтожать ПДн соответствующего Субъекта ПДн, в случае отзыва Субъектом ПДн согласия на обработку своих ПДн в срок, не превышающий 30 (тридцати) дней с даты поступления указанного отзыва, если иное не предусмотрено соглашением между Компанией и Субъектом ПДн.

В соответствии с положениями Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных» Компания имеет право:

— осуществлять обработку ПДн без согласия Субъекта ПДн при наличии оснований, указанных в ст. 6, 10, 11 Федерального закона РФ от 27.07.2006 № 152-ФЗ «О персональных данных»;

— отказать Субъекту ПДн в выполнении запроса/повторного запроса, в случае если Субъекту ПДн был предоставлен мотивированный ответ об отказе выполнения такого запроса.

9. Меры, применяемые для защиты персональных данных субъектов

Компания принимает необходимые и достаточные правовые, организационные и технические меры для защиты ПДн Субъектов ПДн от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, распространения, а также от иных неправомерных действий.

Меры по обеспечению безопасности ПДн, применяемые в Компании, включают:

• — разработку локальных актов Компании, реализующих требования законодательства, в том числе политики в отношении обработки ПДн;
• — отказ от любых способов обработки ПДн, не соответствующих целям, заранее определенных Компанией;
• — назначение ответственного за организацию обработки ПДн;
• — назначение должностного лица, ответственного за обеспечение безопасности ПДн;
• — ограничение состава работников Компании, имеющих доступ к ПДн, и организация разрешительной системы доступа к ним;
• — ознакомление работников Компании, непосредственно осуществляющих обработку ПДн, с положениями законодательства РФ в области ПДн, в том числе с требованиями к защите ПДн, документами, определяющими политику Компании в отношении обработки ПДн, локальными актами по вопросам обработки ПДн, и (или) обучение указанных работников;
• — обучение всех категорий работников, непосредственно осуществляющих обработку ПДн, правилам работы с ними и обеспечения безопасности обрабатываемых ПДн;
• — проведение периодического внутреннего контроля силами Компании или с привлечением внешнего аудитора соответствия обработки ПДн требованиям законодательства, политике Компании в отношении обработки ПДн и иным локальным актам Компании, регламентирующим работу с ПДн;
• — ограничение доступа посторонних лиц в помещения Компании, в которых размещена информационная система, где обрабатываются ПДн (в том числе, путем установления замков на дверях помещений, системы контроля доступов, использования системы видеонаблюдения в разрешенных законом случаях);
• — издание документов, определяющих политику Компании в отношении обработки ПДн, локальных актов по вопросам обработки ПДн, а также локальных актов, устанавливающих процедуры, направленные на предотвращение и выявление нарушений законодательства РФ в области ПДн, устранение последствий таких нарушений;
• — оценку вреда, который может быть причинен Субъектам ПДн в случае нарушения законодательства РФ в области ПДн, соотношение указанного вреда и принимаемых мер, направленных на обеспечение выполнения законодательства РФ в области ПДн;
• — определение угроз безопасности ПДн при их обработке в ИСПДн;
• — применение организационных и технических мер по обеспечению безопасности ПДн при их обработке в ИСПДн, необходимых для выполнения требований к защите ПДн, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищенности ПДн;
• — применение прошедших в установленном порядке процедуру оценки соответствия средств защиты информации (в том числе, путем использования программного брандмауэра, современных методов обмена данными, реализации защищенного удаленного доступа через внешние информационно-коммуникационные сети);
• — проверка и принятие мер к тому, чтобы каждое лицо, имеющее право доступа к системам и/или папкам, в которых хранятся ПДн, знало о своих обязанностях и процедурах обработки, связанных с такими данными, а также об ответственности;
• — оценку эффективности принимаемых мер по обеспечению безопасности ПДн до ввода в эксплуатацию ИСПДн;
• — учет машинных носителей ПДн;
• — обнаружение фактов несанкционированного доступа к ПДн и принятие мер, в том числе мер по обнаружению, предупреждению и ликвидации последствий компьютерных атак на ИСПДн и по реагированию на компьютерные инциденты в них;
• — восстановление ПДн, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• — установление правил доступа к ПДн, обрабатываемым в ИСПДн, а также обеспечение регистрации и учета всех действий, совершаемых с ПДн в ИСПДн;
• — контроль за принимаемыми мерами по обеспечению безопасности ПДн и уровня защищенности ИСПДн;
• — установка антивирусных программ с целью защиты ПДн;
• — установка разграниченного доступа к ПДн, обрабатываемым в информационной(-ых) системе(-ах) Компании;
• — ведение постоянно обновляемых журналов происшествий, в которых указываются имя ответственного лица (лиц), время происшествия, последствия (если таковые имеются) и предпринятые действия в случае нарушения безопасности ПДн;
• — введение надлежащих процедур резервирования и восстановления ПДн;
• — обеспечение регулярного резервного копирования ПДн;
• — ограничение неуспешных попыток доступа к информационной системе;
• — блокирование и удаление учетных записей уволенных работников, которые имели доступ к ПДн для выполнения должностных обязанностей;
• — обеспечение бесперебойного питания устройств, используемых для доступа к ИСПДн;
• — регламентация и контроль использования в информационной системе мобильных устройств;
• — хранение материальных носителей ПДн в несгораемых металлических шкафах и сейфах в соответствии с требованиями законодательства Российской Федерации;
• — при неавтоматизированной обработке ПДн обособление от иной информации путем фиксации на отдельных материальных носителях либо в специальных разделах или полях форм и бланков, которые могут содержать ПДн;
• — при неавтоматизированной обработке Компания не допускает фиксацию на одном материальном носителе ПДн, цели обработки которых заведомо не совместимы. При такой обработке для ПДн, обрабатываемых с несовместимыми целями, используются различные материальные носители, хранящиеся отдельно друг от друга;
• — информирование работников Компании, осуществляющих неавтоматизированную обработку ПДн, об особенностях и правилах осуществления такой обработки;
• — ведение постоянно обновляемых записей обо всех лицах, имеющих право доступа к системам, в которых хранятся ПДн, с указанием процедур обработки ПДн, которые они имеют право осуществлять;
• — предоставление неограниченного доступа к настоящей Политике;
• — иные правовые, организационные и технические меры по защите ПДн от незаконного или случайного доступа, уничтожения, изменения, блокирования, копирования, передачи, распространения, а также других незаконных действий в отношении ПДн, в частности, меры, предусмотренные Федеральным законом от 27.07.2006 № 152-ФЗ «О персональных данных», Постановлением Правительства от 01.11.2012 №1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и другими нормативными правовыми актами.

10. Лицо, ответственное за организацию обработки персональных данных в компании

Компания назначает лицо, ответственное за организацию обработки ПДн. Лицо, ответственное за организацию обработки ПДн, получает указания непосредственно от Генерального директора Компании.

Лицо, ответственное за организацию обработки ПДн обязано:

• — осуществлять внутренний контроль за соблюдением Компанией и ее работниками законодательства РФ в области ПДн, а также внутренних организационно-распорядительных документов Компании по вопросам обработки и защиты ПДн;
• — доводить до сведения работников Компании положения законодательства РФ в области ПДн, локальных актов по вопросам обработки ПДн, требований к защите ПДн;
• — участвовать в пересмотре внутренних организационно-распорядительных документов Компании по вопросам обработки и защиты ПДн;
• — организовывать прием и обработку обращений и запросов Субъектов ПДн или их представителей и (или) осуществлять контроль за приемом и обработкой таких обращений и запросов;
• — исполнять иные обязанности и нести иные права, определенные в соответствующем локальном документе Компании.

Иные обязанности и права Ответственного за организацию обработки ПДн определяются в локальном документе Компании «Руководство должностного лица, ответственного за организацию обработки персональных данных».

11.Ответственность за реализацию положений Политики

Работники Компании, осуществляющие обработку ПДн, а также ответственные лица за организацию и обеспечение безопасности ПДн в Компании несут дисциплинарную, гражданско-правовую и административную или уголовную ответственность в соответствии с действующим законодательством РФ за нарушение положений настоящей Политики, локальных актов Компании, иных требований, предусмотренных законодательством РФ в области ПДн.

Сайт может содержать ссылки на веб-сайты и сервисы третьих лиц, в то же время сторонние веб-сайты и сервисы также могут отсылать к сайту Компании. Компания не имеет отношения и не несет ответственности за обработку ПДн на таких сторонних веб-сайтах, политики и практики, применяемые их владельцами, администраторами или другими лицами, в отношении обработки ПДн Субъектов ПДн. Субъект ПДн самостоятельно обязан ознакомиться с условиями пользования и политикой конфиденциальности каждого стороннего веб-сайта или сервиса, который посещает Субъект ПДн.

Приложение 1. Категории субъектов и цели обработки ПДн на веб-сайтах и страницах Компании

Общие категории Субъектов ПДн и цели обработки ПДн на веб-сайтах и страницах Компании

На веб-сайтах и страницах Компании может производиться обработка ПДн следующих категорий субъектов ПДн:

• — Посетители сайтов Компании;
• — Пользователи сети Интернет, взаимодействующие с рекламными размещениями Компании;
• — Пользователи сайтов Компании;
• — Участники маркетинговых мероприятий;
• — Потребители.

Субъект ПДн одновременно может относиться к нескольким категориям, указанным выше, например, являться Пользователем сети Интернет, взаимодействующим с рекламными размещениями Компании, и Посетителем сайтов Компании и т. п.

На веб-сайтах и страницах Компания обрабатывает ПДн для следующих целей:

1 «Аналитика действий посетителей интернет-сайтов и мобильных приложений Компании, а также обеспечение функционирования и правильной работы сайтов и мобильных приложений, корректное расположение контента»

1.1 Подцель: Анализ эффективности рекламных размещений

1.1.1 В рамках указанной подцели Компания обрабатывает ПДн следующих категорий субъектов ПДн:

• — Пользователи сети Интернет, взаимодействующие с рекламными размещениями Компании;
• — Посетители сайтов Компании.

1.1.2 В рамках указанной подцели Компания обрабатывает следующие ПДн:

• — Сведения, собираемые посредством метрических программ: техническая информация, включая адрес Интернет-протокола (IP), который был использован при подключении компьютера пользователя к сети Интернет, логин и пароль, тип и версия браузера пользователя, часовой пояс, типы и версии вспомогательных программ, встроенных в браузер, операционная система и платформа;
• — тип устройства, с которого осуществляется доступ к сайтам или мобильным приложениям, администрируемым/используемых Компанией, мобильные идентификаторы IDFA (Identifier for Advertisers, Apple), GAID (Google Advertiser ID, Android);
• — тип браузера, с использованием которого осуществляется доступ к сайтам или мобильным приложениям, администрируемым / используемым Компанией;
• — информация о визите пользователя, включая маршрут перемещения с полными унифицированными указателями информационного ресурса (URL) при переходе на сайт Компании, при перемещении по нему и при выходе с него (включая дату и время);
• — время ожидания ответа страницы, ошибки при загрузке, длительность посещения определенных страниц, информация о работе со страницей (прокрутка, щелчки мышкой и наведение указателя мыши), методы, использованные при входе со страницы;
• — геопозиция IP адреса;
• — информация о действиях на страницах на сайтах, мобильных приложениях, администрируемых / используемых Компанией.

2 «Взаимодействие с пользователями сайтов и страниц Компании для информирования о деятельности Компании, продвижения реализуемой продукции и услуг, получения обратной связи, предоставления возможности использования сервисов сайтов и участия в маркетинговых мероприятиях, промо-акциях и конкурсах, программах лояльности, выполнения обязательств в рамках пользовательских соглашений»

2.1 Подцель: Создание аккаунта на Сайте и использование сервисов Сайта зарегистрированными пользователями

2.1.1 В рамках указанной подцели Компания обрабатывает ПДн следующих категорий субъектов ПДн:

• — Пользователи сайтов Компании.

2.1.2 В рамках указанной подцели Компания обрабатывает следующие ПДн:

• — Имя;
• — Фамилия;
• — Номер телефона;
• — Адрес электронной почты;
• — Дата рождения;
• — История заказов.

3 «Обработка обращений посетителей и пользователей вебсайтов Компании, а также потребителей продукции Компании»

3.1 Подцель: Обработка обращений потребителей продукции Компании, полученных по электронной почте, через социальные сети или через колл-центр

3.1.1 В рамках указанной подцели Компания обрабатывает ПДн следующих категорий субъектов ПДн:

• — Потребители.

3.1.2 В рамках указанной подцели Компания обрабатывает следующие ПДн:

• — Фамилия, имя, отчество;
• — Номер телефона;
• — Адрес электронной почты;
• — Аккаунт в социальных сетях;
• — Суть обращения.

3.2 Подцель: Взаимодействие для предоставления отзывов и получения ответов на вопросы о продукте на Сайте

3.2.1 В рамках указанной подцели Компания обрабатывает ПДн следующих категорий субъектов ПДн:

• — Посетители сайтов Компании;
• — Пользователи сайтов Компании.

3.2.2 В рамках указанной подцели Компания обрабатывает следующие ПДн:

• — Имя;
• — Адрес электронной почты.

4 «Проведение маркетинговых мероприятий, конкурсов, промо-акций»

4.1 Подцель: Проведение маркетинговых мероприятий, конкурсов, промо-акций

4.1.1 В рамках указанной подцели Компания обрабатывает ПДн следующих категорий субъектов ПДн:

• — Участники маркетинговых мероприятий.

4.1.2 В рамках указанной подцели Компания обрабатывает следующие ПДн:

• — Фамилия, имя, отчество;
• — Адрес электронной почты;
• — Номер телефона;
• — Адрес доставки;
• — Информация, содержащаяся в отзывах товара;
• — Сведения об адресе (-ах) аккаунта (-ов) пользователей в социальных сетях.

5 «Осуществление рекламных и информационных рассылок потребителя и пользователям вебсайтом Компании»

5.1 Подцель: Предоставление возможности подписки на новостные и рекламные рассылки Компании для пользователей Сайта

5.1.1 В рамках указанной подцели Компания обрабатывает ПДн следующих категорий субъектов ПДн:

• — Посетители сайтов Компании;
• — Пользователи сайтов Компании.

5.1.2 В рамках указанной подцели Компания обрабатывает следующие ПДн незарегистрированных пользователей:

• — Адрес электронной почты;
• — Метрические данные, определяющие наличие взаимодействия со страницами и сайтами Компании в сети Интернет и рассылкой Компании.

5.1.3 В рамках указанной подцели Компания обрабатывает следующие ПДн зарегистрированных пользователей:

• — Фамилия, имя;
• — Адрес электронной почты;
• — Тип кожи;
• — Метрические данные, определяющие наличие взаимодействия со страницами и сайтами Компании в сети Интернет и рассылкой Компании.

Способы обработки: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу ( предоставление, доступ), блокирование, удаление.

Сроки хранения ПДн определены в Приложении 2.

Приложение 2. Сроки хранения персональных данных