ПОЛОЖЕНИЕ ОБ ОБРАБОТКЕ ПЕРСОНАЛЬНЫХ ДАННЫХ

1. Общие положения

1.1. Настоящее Положение определяет порядок сбора, обработки и защиты персональных данных (далее — Персональные данные, ПДн) у владельца сайта: https://ug-los.ru/ (далее - Сайт), а именно: Индивидуального предпринимателя Ахрютина Константина Анатольевича (ИНН 621504819086, ОГРНИП 317237500331279) (далее — Оператор) при использовании Сайта.

1.2. Оператор осуществляет обработку ПДн в соответствии с Федеральным законом от 27 июля 2006 года № 152-ФЗ «О персональных данных» и иными нормативными правовыми актами Российской Федерации.

1.3. Цели обработки ПДн:

• Обеспечение функционирования Сайта;
• Повышение качества выполняемых работ/предоставляемых услуг;
• Выполнение требований законодательства;
• Установление обратной связи с Пользователем;
• Уточнение у Пользователя деталей заказа;
• Фиксирование потребности в работах.

1.4. Неотъемлемой частью Положения являются:
- Пользовательское соглашение, размещённая на странице в Интернете: https://ug-los.ru/polzovatelskoe-soglashenie
- Положение об обработке персональных данных, размещенное на странице в Интернет https://ug-los.ru/policy
- Согласие на обработку персональных данных, размещенное на странице в Интернете: https://ug-los.ru/soglasie
- Правила обработки cookie-файлов, размещенные на странице в Интернете: https://ug-los.ru/cookie

2. Определение понятий

2.1. Персональные данные (ПДн) — любая информация, относящаяся к определенному или определяемому физическому лицу (субъекту ПДн).

2.2. Общедоступные ПДн - сведения о субъекте персональных данных, по которым его можно идентифицировать, включая но не ограничиваясь: его фамилия, имя, отчество, год и место рождения, адрес, мобильные телефон, сведения о месте работы и/или занимаемой должности и другие сведения.

2.3. Иные категории ПДн, которые нельзя определить ни в одну из других групп. Фактически, это дополнительная информация о человеке, которая часто меняется: размер зарплаты, социальный статус, потребность в работах/услугах и т.п.

2.4. Обработка Персональных данных — любое действие с ПДн, включая сбор, хранение, использование, распространение и уничтожение.

2.5. Оператор ПДн - юридическое или физическое лицо (индивидуальный предприниматель), самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

2.6. Пользователь – физическое лицо, осуществляющее использование Сайта.

2.7. Сайт - совокупность графических и информационных материалов, а также программ для ЭВМ и баз данных, обеспечивающих их доступность в сети интернет по сетевому адресу https://ug-los.ru/.

2.8. Инцидент - факт неправомерной или случайной передачи (предоставления, распространения, доступа) персональных данных, повлекшей или создающей угрозу нарушения прав субъектов персональных данных.

2.9. Утечка - несанкционированное распространение, разглашение или иной способ доведения персональных данных до сведения неопределенного круга лиц без согласия субъекта ПДн или иных законных оснований, произошедшее вследствие взлома или хакерской атаки Сайта, некорректной обработки данных, приводящей к распространению недостоверной информации о субъекте ПДн, либо несанкционированный доступ третьих лиц к персональным данным субъекта.

3. Субъекты персональных данных

3.1. Субъектами ПДн являются: физические лица, чьи данные обрабатываются в процессе использования Сайта, а именно:
- Пользователи - физические лица.

3.2. Обработка ПДн осуществляется на основании согласия Пользователя (субъекта ПДн) или в иных случаях, предусмотренных законодательством.

4. Права субъектов персональных данных

4.1. Субъекты ПДн имеют право:
4.1.1. Запрашивать информацию о своих ПДн, обрабатываемых Оператором;
4.1.2. Требовать уточнения, блокировки или удаления своих ПДн в случае их неточности;
4.1.3. Уведомлять о необходимости исправлений, уточнений или ограничения обработки ПДн (части ПДн), путем направления соответствующего уведомления Оператору по адресу электронной почты: tayfunsochi79@bk.ru с пометкой «Актуализация персональных данных».
4.1.4. В любой момент отозвать свое согласие на обработку Персональных данных путем направления соответствующего Отзыва Оператору по адресу электронной почты: tayfunsochi79@bk.ru с пометкой «Отзыв Согласия на обработку персональных данных».

5. Обязанности Оператора при обработке Персональных данных

5.1. Оператор обязуется:
5.1.1. Обеспечивать безопасность и конфиденциальность ПДн;
5.1.2. Не передавать ПДн третьим лицам без согласия субъекта ПДн, за исключением случаев, предусмотренных законодательством РФ;
5.1.3. Уведомлять субъектов ПДн о целях и способах обработки их Персональных данных;
5.1.4. Обеспечивать безопасность Персональных данных используя комплексный подход, который состоит из мониторинга, автоматического выявления угроз и своевременного реагирования на инциденты;
5.1.5. Осуществлять контроль за информационными ресурсами на Сайте, применяя комплексный подход, включающий меры технического характера, организационные мероприятия и обучение персонала, с целью обеспечения надежной защиты данных и минимизации рисков.
5.1.6. Получать согласия субъектов ПДн, выраженных ясно и однозначно, которое включает: цель обработки ПДн, перечень обрабатываемых данных, сроки обработки, способы прекращения обработки и иные существенные условия, установленные законодательством РФ в области защиты Персональных данных.
5.1.7. Информировать субъект ПДн о наличии права на отзыв своего согласия, исправление, удаление или ограничение обработки ПДн.
5.1.8. Собирать и обрабатывать только те Персональные данные, которые необходимы для достижения заявленных целей обработки.

6. Хранение и защита Персональных данных

6.1. Оператор принимает необходимые меры для защиты ПДн от несанкционированного доступа, утраты или уничтожения, включая:
6.1.1. Мониторинг, автоматическое выявление угроз, своевременного выявления угроз и уязвимостей, и другие технологии защиты информации;
6.1.2. Регулярное проведение внутренних аудитов безопасности.
6..2. Срок хранения ПДн определяется в зависимости от целей их обработки и в соответствии с законодательством РФ.

7. Передача персональных данных

7.1. Передача ПДн третьим лицам может осуществляться только с согласия субъекта ПДн или в случаях, предусмотренных законодательством РФ.

7.2. В случае передачи ПДн третьим лицам Оператор обеспечивает соблюдение требований по защите Персональных данных.

8. Порядок выявления и фиксации инцидентов

8.1. Процесс выявления и фиксации инцидентов включает несколько основных этапов:

8.1.1. Мониторинг активности Пользователей, который включает отслеживание поведения Пользователей, обращая внимание на необычные действия, включая, но не ограничиваясь:
8.1.1.1. частые скачивания больших объемов данных;
8.1.1.2. вход из необычных местоположений или стран.

8.1.2. Выявление и фиксация в журнале учета инцидентов об утечках/подозрениях на утечки от любого Пользователя. Для реализации данного этапа любой Пользователь может обратиться к Оператору с информацией об утечке/подозрениях на утечку по электронной почте: tayfunsochi79@bk.ru. Получив указанную информацию, Оператор незамедлительно принимает меры, содержащиеся в настоящем разделе.

8.1.3. Выявление и фиксация фактов несанкционированного доступа, вредоносной активности или иных отклонений от нормы.

8.2. Оператор проводит регулярные проверки и внутренний аудит.

8.3. При обнаружении Инцидента Оператор немедленно инициирует процедуру реагирования такими мерами как (включая, но не ограничиваясь):
8.3.1. оценка масштаба происшествия;
8.3.2. фиксация несанкционированного доступа или утечки;
8.3.3. применение технических и организационных мер для прекращения дальнейшего несанкционированного доступа к данным (включая, но не ограничиваясь, такие как: изолирование пострадавших серверов или баз данных, блокировка уязвимости на Сайте, ограничение скомпрометированного аккаунта, изменение паролей и т.п.);
8.3.4. уведомление пострадавших Пользователей (при необходимости) и в обязательном порядке регулирующих органов согласно законодательству, в течение 24 часов после обнаружения утечки (первичное уведомление), и в течение 72 часов (уточнённое уведомление).

9. Порядок контроля за информационными ресурсами

9.1. Оператором осуществляется контроль за информационными ресурсами на Сайте, представляющий собой комплекс мер, направленных на обеспечение конфиденциальности, целостности и доступности ПДн.
9.2. Основные этапы и методы, используемые для эффективного управления информационными ресурсами, состоят из следующего (включая, но не ограничиваясь):
9.2.1. Проведение оценки рисков, связанных с использованием Сайта, что включает в себя идентификацию потенциальных угроз и уязвимостей, а также определение возможных последствий нарушений информационной безопасности.
9.2.2. Оператором разработана и применяется Политика конфиденциальности, в которой содержатся четкие политики и процедуры, регулирующие использование Сайта и охватывающая вопросы авторизации доступа, защиты персональных данных.
9.2.3. Применение надежных методов аутентификации и авторизации, которые направлены на минимизацию рисков несанкционированного доступа к ПДн.
9.2.4. Проведение регулярного мониторинга активности Пользователей, что позволяет своевременно выявлять аномалии и подозрительные действия, помогают отслеживать изменения в конфигурациях, доступе на Сайт и выполнении операций.
9.2.5. Обеспечение регулярного резервного копирования данных и проверка возможности их быстрого восстановления.
9.2.6. Прохождение работником Оператора, занимающимся сбором ПДн пользователей, тренингов и семинаров для повышения уровня осведомленности о правилах информационной безопасности и защиты персональных данных.
9.2.7. Использование внутренних процессов и инфраструктуры, соответствующих требованиям регулирующих органов и стандартов информационной безопасности.

10. Порядок внутренних расследований инцидентов

10.1. При обнаружении Инцидента Оператором проводится внутреннее расследование согласно следующим этапам:
10.1.1. Фиксирование факта происшествия: при выполнении данного этапа фиксируется факт происшествия, путем составления Акта о внутреннем расследовании Инцидента, с указанием обстоятельств произошедшего, даты Инцидента, возможных последствий и объема затронутых данных.
10.1.2. Назначение ответственного сотрудника: у Оператора издается Приказ о назначении ответственного за расследование инцидента. Для внутреннего расследования привлекается работник ответственный за сбор и хранение персональных данных, назначенный приказом Оператора, и/или работник, обладающий компетенциями в области защиты персональных данных и соответствующих нормативных требований.
10.1.3. Оценка масштабов и последствий: при реализации данного этапа определяется объем и характер пострадавших данных, число лиц, чьи персональные данные могли пострадать, возможные риски нарушения прав субъектов персональных данных и репутационные последствия, а также виновный в инциденте.
10.1.4. Анализ причин Инцидента для установления причины: каковыми могут являться (включая, но не ограничиваясь): ошибка работника, кибератака, хакерская атака, сбой оборудования, уязвимости программного обеспечения и др. При исполнении данного этапа также оцениваются слабые места инфраструктуры и организационных мер защиты.
10.1.5. При необходимости возможно проведение технической экспертизы, при которой оцениваются: серверы, компьютеры, сети передачи данных, файлы и приложения, выполняется сбор и сохранение цифровых доказательств (лог-файлы, резервные копии и иное).
10.1.6. Проведение опроса работников Оператора и иных лиц, причастных к обработке и хранению данных, задействованных в инциденте. Полученные объяснения и свидетельства о ходе события заносятся в Отчет о внутреннем расследовании инцидента.
10.1.7. По результатам внутреннего расследования составляется Отчет о внутреннем расследовании, содержащий выводы о причинах Инцидента, объеме ущерба, о лице виновном в утечке, о принятых мерах реагирования и рекомендации по предотвращению аналогичных случаев в будущем и иные существенные данные.
10.1.8. В случае установления вины Оператора, подготавливается и направляется Сообщение об утечке в Роскомнадзор.
10.1.9. В случае установления вины иных лиц, указанным лицам подготавливается и направляется Сообщение об инциденте и указание на обязательность направления в Роскомнадзор сообщения об утечке.
10.1.10. В случае выявления кибератаки и/или хакерской атаки, а также в иных необходимых случаях, составляется Заявление о преступлении и подаётся в полицию.
10.1.11. Во всех случаях, согласно требованиям Федерального закона №152-ФЗ "О персональных данных" Оператор информирует владельцев данных о факте утечки и предпринятых мерах по устранению угрозы.
10.1.12. Корректирующие меры: при исполнении данного этапа внедряются новые меры безопасности и повышения квалификации персонала, обновляются процессы обработки и хранения ПДн, вводятся дополнительные уровни защиты и мониторинга.

10.2. Все проводимые Оператором меры направлены на минимизацию ущерба от Инцидента и предотвращение аналогичных ситуаций в дальнейшем.

11.Заключительные положения

11.1. Настоящее Положение вступает в силу с момента его утверждения и действует до отмены или изменения.

11.2. Все изменения и дополнения к настоящему Положению оформляются в письменном виде и утверждаются руководством Оператора.

11.3. Настоящее Положение доступно для ознакомления всем Пользователям на Сайте по адресу: https://ug-los.ru/policy.

11.4. Оператор оставляет за собой право вносить изменения и дополнения в Положение с уведомлением Пользователя посредством размещения новой редакции изменяемого Положения на Сайте. Новая редакция Положения вступает в силу в день, следующий за днем его размещения на Сайте по адресу: https://ug-los.ru/policy. Пользователь обязуется самостоятельно регулярно знакомиться с новыми редакциями Положения.