Политика конфиденциальности

1. Термины и определения

Сайт

Совокупность программ для электронных вычислительных машин и иной информации, содержащейся в информационной системе, доступ к которой обеспечивается посредством информационно-телекоммуникационной сети «Интернет» по доменным именам и (или) по сетевым адресам, позволяющим идентифицировать сайты в сети «Интернет».

Пользователь

Посетитель Сайта, в том числе использующий формы обратной связи и формы регистрации, размещённые на Сайте.

Федеральный закон (ФЗ)

Федеральный закон РФ «О персональных данных» от 27.07.2006 № 152-ФЗ (далее — Закон о персональных данных).

Персональные данные

Любая информация, относящаяся прямо или косвенно к определённому или определяемому физическому лицу (субъекту персональных данных).

Оператор

Государственный орган, муниципальный орган, юридическое или физическое лицо, самостоятельно или совместно с другими лицами организующие и (или) осуществляющие обработку персональных данных, а также определяющие цели обработки персональных данных, состав персональных данных, подлежащих обработке, действия (операции), совершаемые с персональными данными.

Обработка персональных данных

Любое действие (операция) или совокупность действий (операций), совершаемых с персональными данными как с использованием средств автоматизации, так и без использования средств автоматизации.

Настоящая Политика применяется к сайту регистрации на бизнес-завтрак «Профессиональные сервисы Arenadata: практика, которая приносит результат».

2. Общие положения

2.1. Оператором является Общество с ограниченной ответственностью «Аренадата Софтвер», ИНН 7713468845 (далее по тексту также «Компания»).

2.2. Оператор не обрабатывает биометрические персональные данные Пользователей и персональные данные, относящиеся к специальным категориям.

2.3. При даче согласия Оператору на обработку персональных данных Пользователь подтверждает, что является совершеннолетним.

2.4. Способы обработки персональных данных: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ), обезличивание, удаление, уничтожение персональных данных.

На мобильных устройствах таблицу можно прокручивать по горизонтали.

3. Предмет Политики

3.1. Согласие на обработку персональных данных, кроме указанных в п. 3.2 Политики, даётся путём проставления соответствующей отметки («галочки») в чек-боксе формы регистрации на Сайте.

3.2. Согласие на обработку куки-файлов даётся путём нажатия кнопки «Принять все» в куки-баннере.

3.3. Оператор осуществляет обработку персональных данных в следующем порядке.

Куки-файлы

Cookie-файлы — это небольшие текстовые файлы, которые размещаются на вашем компьютере веб-сайтами, которые вы посетили. Они широко используются для того, чтобы веб-сайты могли работать или работать более эффективно, а также чтобы предоставлять необходимую информацию владельцам веб-сайта. Использование cookie-файлов — стандартная на данный момент практика для большинства веб-сайтов. Если у вас возникают сложности с использованием cookie-файлов, вы можете управлять ими и контролировать их через свой браузер, в том числе удалять их путём стирания из «истории браузера» (быстродействующей буферной памяти — кэш), когда вы уходите с веб-сайта.

Виды куки-файлов

• «Сеансовые» cookie-файлы сохраняются в браузере только на протяжении вашего сеанса в браузере, то есть до тех пор, пока вы не уйдёте с веб-сайта;
• «Постоянные» cookie-файлы сохраняются в вашем браузере после завершения сеанса (если вы их не удалили);
• «Сборщики информации» получают и накапливают информацию о вашем пользовании веб-сайтом, в частности о том, какие веб-страницы вы посещали, о наличии сообщений об ошибках. Эти файлы не собирают персонально идентифицируемую информацию. Полученная информация накапливается таким образом, чтобы обеспечить её анонимность. «Сборщики информации» используются для совершенствования работы веб-сайта;
• «Функциональные» cookie-файлы позволяют веб-сайту запомнить все ваши варианты выбора, связанные с ним (например, изменение размера текста, страницы с пользовательскими настройками), или активировать такие услуги, как публикация комментариев в блоге.

Ваш выбор, сделанный в куки-баннере, сохраняется в отдельном постоянном куки-файле и действует 180 дней. Изменить его можно, удалив куки-файлы Сайта в настройках браузера.

3.4. На Сайте может использоваться сервис веб-аналитики «Яндекс Метрика», который позволяет собирать и анализировать данные о Пользователях Сайта в целях улучшения работы Сайта.

3.5. Данные, указанные Пользователем в форме регистрации, сохраняются и обрабатываются с использованием сервисов Google (Google Таблицы и почтовый сервис Google) — исключительно в целях ведения списка участников мероприятия и направления писем-подтверждений. Указанные лица привлекаются к обработке персональных данных по поручению Оператора и обязаны соблюдать конфиденциальность и требования к безопасности персональных данных.

3.6. Оператор не продаёт персональные данные и не передаёт их третьим лицам в маркетинговых целях. Передача возможна в случаях, прямо предусмотренных законодательством Российской Федерации, — по мотивированному запросу уполномоченных государственных органов.

4. Принципы, сроки обработки персональных данных. Уничтожение персональных данных

4.1. Обработка персональных данных Пользователей Сайта осуществляется на законной и справедливой основе и должна ограничиваться достижением конкретных, заранее определённых и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.

4.2. Срок обработки и хранения персональных данных — до достижения цели обработки или отзыва согласия Пользователем.

4.3. Обрабатываемые данные подлежат уничтожению по достижении целей обработки или в случае отзыва согласия в срок, не превышающий 30 календарных дней.

4.4. Порядок уничтожения персональных данных при достижении цели обработки — удаление с серверов Оператора.

5. Права и обязанности сторон

5.1. Пользователь имеет право на получение сведений об Операторе и месте его нахождения.

5.2. Пользователь вправе требовать на основании письменного заявления в адрес Оператора уничтожения своих персональных данных.

5.3. Оператор обеспечивает конфиденциальность и безопасность персональных данных при их обработке в соответствии с требованиями законодательства Российской Федерации.

Обращения по вопросам обработки персональных данных направляйте на адрес info@arenadata.io.

6. Обеспечение защиты персональных данных в Компании

6.1. Компания при обработке персональных данных принимает необходимые правовые, организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа к ним, уничтожения, изменения, блокирования, копирования, предоставления, распространения персональных данных, а также от иных неправомерных действий в отношении персональных данных.

6.2. Обеспечение безопасности персональных данных достигается, в частности:

• определением угроз безопасности персональных данных при их обработке в информационных системах персональных данных;
• применением организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных, необходимых для выполнения требований к защите персональных данных, исполнение которых обеспечивает установленные Правительством Российской Федерации уровни защищённости персональных данных;
• применением прошедших в установленном порядке процедуру оценки соответствия средств защиты информации;
• оценкой эффективности принимаемых мер по обеспечению безопасности персональных данных до ввода в эксплуатацию информационной системы персональных данных;
• учётом машинных носителей персональных данных;
• обнаружением фактов несанкционированного доступа к персональным данным и принятием мер;
• восстановлением персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним;
• установлением правил доступа к персональным данным, обрабатываемым в информационной системе персональных данных, а также обеспечением регистрации и учёта всех действий, совершаемых с персональными данными в информационной системе персональных данных;
• контролем за принимаемыми мерами по обеспечению безопасности персональных данных и уровня защищённости информационных систем персональных данных.

6.3. Под угрозами безопасности персональных данных понимается совокупность условий и факторов, создающих опасность несанкционированного, в том числе случайного, доступа к персональным данным, результатом которого могут стать уничтожение, изменение, блокирование, копирование, предоставление, распространение персональных данных, а также иные неправомерные действия при их обработке в информационной системе персональных данных. Под уровнем защищённости персональных данных понимается комплексный показатель, характеризующий требования, исполнение которых обеспечивает нейтрализацию определённых угроз безопасности персональных данных при их обработке в информационных системах персональных данных. Уровень защищённости ПДн в Компании фиксируется в Акте определения уровня защищённости ПДн.

6.4. Безопасность персональных данных при их обработке в информационной системе обеспечивается с помощью Системы защиты персональных данных (СЗПДн), нейтрализующей актуальные угрозы безопасности, признанные актуальными в Модели угроз и нарушителя безопасности персональных данных Компании. СЗПДн является неотъемлемой частью Комплексной системы информационной безопасности Компании.

6.5. Правовые меры включают:

• разработку локальных актов Компании, реализующих требования законодательства и положений методических документов в отношении обеспечения безопасности персональных данных, в том числе Политики;
• отказ от любых способов обработки персональных данных, не соответствующих определённым в Положении целям.

6.6. Организационные меры включают:

• назначение лица, ответственного за организацию обработки персональных данных;
• ограничение состава работников Компании, имеющих доступ к персональным данным, и организацию разрешительной системы доступа к ним;
• ознакомление работников Компании с положениями законодательства Российской Федерации о персональных данных, в том числе с требованиями к защите персональных данных, с Политикой, другими локальными актами Компании по вопросам обработки персональных данных;
• обучение всех категорий работников, непосредственно осуществляющих обработку персональных данных, правилам работы с ними и обеспечения безопасности обрабатываемых данных;
• определение в трудовом договоре или должностных инструкциях работников Компании обязанностей по обеспечению безопасности обработки персональных данных и ответственности за нарушение установленного порядка;
• регламентацию процессов обработки персональных данных;
• определение типа угроз безопасности персональных данных, актуальных для информационных систем персональных данных с учётом оценки возможного вреда субъектам персональных данных, который может быть причинён в случае нарушения требований безопасности, определение уровня защищённости персональных данных и требований к защите персональных данных при их обработке в информационных системах, исполнение которых обеспечивает установленные уровни защищённости персональных данных;
• определение угроз безопасности персональных данных при их обработке в информационных системах, формирование на их основе Модели угроз и модели нарушителя безопасности информации;
• размещение технических средств обработки персональных данных в пределах контролируемой зоны Компании;
• организацию учёта носителей персональных данных, в том числе машинных;
• организацию учёта средств защиты персональных данных;
• организацию режима обеспечения безопасности помещений, в которых размещены информационные системы персональных данных и осуществляется хранение носителей персональных данных, ограничение допуска посторонних лиц в помещения Компании, недопущение их нахождения в помещениях, где ведётся работа с персональными данными и размещаются технические средства их обработки, без контроля со стороны работников Компании;
• взаимодействие с государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, включая информирование её о компьютерных инцидентах, которые повлекли неправомерную передачу (предоставление, распространение, доступ) персональных данных, в порядке, определённом федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности.

6.7. Технические меры включают в себя:

• разработку на основе частной модели угроз Системы защиты персональных данных для установленных Правительством Российской Федерации уровней защищённости персональных данных при их обработке в информационных системах;
• использование для нейтрализации актуальных угроз средств защиты информации, прошедших процедуру оценки соответствия;
• реализацию разрешительной системы доступа работников к персональным данным, обрабатываемым в информационных системах, и программно-аппаратным и программным средствам защиты информации;
• регистрацию и учёт действий с персональными данными пользователей информационных систем, в которых обрабатываются персональные данные;
• выявление вредоносного программного обеспечения (применение антивирусных программ) на всех узлах информационной сети Компании, обеспечивающих соответствующую техническую возможность;
• безопасное межсетевое взаимодействие (применение межсетевого экранирования);
• восстановление персональных данных, модифицированных или уничтоженных вследствие несанкционированного доступа к ним (систему резервного копирования и восстановления персональных данных);
• оценку эффективности принимаемых мер по обеспечению безопасности персональных данных — контроль защиты информации (самостоятельно или с привлечением на договорной основе юридических лиц и индивидуальных предпринимателей, имеющих лицензию на осуществление деятельности по технической защите конфиденциальной информации) в соответствии с регламентирующими документами ФСТЭК России.

6.8. В состав мер по обеспечению безопасности персональных данных, реализуемых в рамках системы защиты персональных данных с учётом актуальных угроз безопасности персональных данных и применяемых информационных технологий, входят:

• идентификация и аутентификация субъектов доступа и объектов доступа;
• управление доступом субъектов доступа к объектам доступа;
• ограничение программной среды;
• защита машинных носителей информации, на которых хранятся и (или) обрабатываются персональные данные;
• регистрация событий безопасности;
• антивирусная защита;
• обнаружение (предотвращение) вторжений;
• контроль (анализ) защищённости персональных данных;
• обеспечение целостности информационной системы и персональных данных;
• обеспечение доступности персональных данных;
• защита среды виртуализации;
• защита технических средств;
• защита информационной системы, её средств, систем связи и передачи данных;
• выявление инцидентов (одного события или группы событий), которые могут привести к сбоям или нарушению функционирования информационной системы и (или) к возникновению угроз безопасности персональных данных (далее — инциденты), и реагирование на них;
• управление конфигурацией информационной системы и системы защиты персональных данных;
• применение средств криптографической защиты каналов передачи информации при передаче ПДн за пределы контролируемой зоны.

Конкретная техническая реализация указанных мер содержится в техническом проекте на Комплексную систему информационной безопасности Компании, включающей в свой состав СЗПДн.

7. Заключительные положения

7.1. Настоящая Политика является общедоступной. Общедоступность настоящей Политики обеспечивается публикацией на Сайте Оператора.

7.2. Условия настоящей Политики устанавливаются, изменяются и отменяются Оператором в одностороннем порядке без предварительного уведомления Пользователя. С момента размещения на Сайте новой редакции Политики предыдущая редакция считается утратившей свою силу.