Политика обработки персональных данных

1. Общие положения

1.1. Политика определяет цели, состав, правовые основания, условия и сроки обработки персональных данных, права субъектов персональных данных и меры по защите персональных данных, которые применяет Оператор, указанный в разделе 2.

1.2. Политика применяется ко всем персональным данным, которые Оператор обрабатывает в связи с деятельностью агентства goesti.agency, в том числе полученным через сайт https://goesti.agency (далее — «Сайт»), по электронной почте, в мессенджерах, по телефону, при заключении и исполнении договоров.

1.3. Термины используются в значениях, установленных статьёй 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» (далее — «Закон о ПДн»): персональные данные, обработка, автоматизированная обработка, распространение, предоставление, блокирование, уничтожение, обезличивание, информационная система персональных данных, трансграничная передача.

1.4. Политика является общедоступным документом. Актуальная редакция размещена по адресу https://goesti.agency/legal/privacy.html, ссылка на неё есть на каждой странице Сайта, где собираются персональные данные.

2. Сведения об Операторе

2.1. Далее — «Оператор». Организацию обработки персональных данных Оператор как индивидуальный предприниматель обеспечивает лично.

3. Правовые основания обработки

3.1. Оператор обрабатывает персональные данные на основании и во исполнение:

1) Закона о ПДн и принятых в соответствии с ним нормативных актов;

2) Гражданского кодекса Российской Федерации и Налогового кодекса Российской Федерации;

3) Федерального закона от 13.03.2006 № 38-ФЗ «О рекламе» (далее — «Закон о рекламе»), в том числе статьи 18.1 о передаче сведений в единый реестр интернет-рекламы;

4) Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;

5) Федерального закона от 06.12.2011 № 402-ФЗ «О бухгалтерском учёте»;

6) договоров, стороной которых является субъект персональных данных или которые заключаются по его инициативе;

7) согласий субъектов персональных данных;

8) законных интересов Оператора в случаях, когда при этом не нарушаются права и свободы субъекта (пункт 7 части 1 статьи 6 Закона о ПДн).

4. Принципы обработки

4.1. Оператор соблюдает принципы, установленные статьёй 5 Закона о ПДн:

1) обработка ведётся законно и справедливо и ограничивается достижением конкретных, заранее определённых и законных целей;

2) не допускается обработка, несовместимая с целями сбора, и объединение баз данных, обработка которых ведётся в несовместимых целях;

3) обрабатываются только данные, которые отвечают целям обработки; их содержание и объём не избыточны;

4) обеспечивается точность, достаточность и актуальность данных;

5) данные хранятся не дольше, чем этого требуют цели обработки, если срок не установлен законом или договором, и уничтожаются по достижении целей или при утрате необходимости в их достижении.

5. Цели, данные, основания и сроки

5.1. Для каждой цели ниже указаны категории субъектов, перечень данных, правовые основания, действия и сроки. Действия с данными по всем целям, если не указано иное: сбор, запись, систематизация, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передача (предоставление, доступ) лицам, указанным в разделе 6, блокирование, удаление, уничтожение. Способ обработки — смешанный, с передачей по сети «Интернет».

6. Условия и порядок обработки

6.1. Оператор не принимает решений, порождающих юридические последствия для субъекта, исключительно на основании автоматизированной обработки его персональных данных (статья 16 Закона о ПДн).

6.2. Оператор не обрабатывает специальные категории персональных данных и биометрические персональные данные. Изображения людей в видео и публикациях не используются для установления личности.

6.3. Запись, систематизация, накопление, хранение, уточнение (обновление, изменение) и извлечение персональных данных граждан Российской Федерации осуществляются с использованием баз данных, находящихся на территории Российской Федерации (часть 5 статьи 18 Закона о ПДн в редакции Федерального закона от 28.02.2025 № 23-ФЗ). Серверы и базы данных Сайта расположены на территории Российской Федерации.

6.4. Оператор поручает обработку персональных данных другим лицам на основании договоров, которые содержат требования части 3 статьи 6 Закона о ПДн: перечень данных и действий с ними, цели обработки, обязанность соблюдать конфиденциальность и обеспечивать безопасность данных, требования к защите по статье 19 Закона о ПДн, требования части 5 статьи 18 и статьи 18.1 Закона о ПДн, обязанность уведомлять Оператора об инцидентах. Такими лицами являются: ООО «ЯНДЕКС» (сервис Яндекс Метрика); провайдеры хостинга и облачного хранения данных с серверами в Российской Федерации; сервисы электронной почты и рассылок с серверами в Российской Федерации. Ответственность перед субъектом за действия таких лиц несёт Оператор (часть 5 статьи 6 Закона о ПДн).

6.5. Оператор предоставляет персональные данные третьим лицам в объёме, необходимом для целей обработки:

1) клиентам — сведения о блогерах в объёме подборки и для организации визитов, посевов и мероприятий;

2) блогерам и авторам — контакты представителей клиента для организации визитов, посевов и мероприятий;

3) оператору рекламных данных и Роскомнадзору — для передачи сведений в единый реестр интернет-рекламы;

4) банкам, налоговым органам и Социальному фонду России — для расчётов, учёта и отчётности;

5) службам доставки — фамилию, имя, телефон и адрес получателя для доставки продукции блогерам;

6) государственным органам — по их запросам в случаях, установленных законом.

6.6. Оператор не распространяет персональные данные (не раскрывает их неопределённому кругу лиц) без отдельного согласия субъекта на распространение по статье 10.1 Закона о ПДн, в том числе при публикации кейсов с именами и изображениями.

6.7. Оператор не осуществляет трансграничную передачу персональных данных, за исключением случая, когда субъект сам выбрал для связи мессенджер Telegram, оператором которого является иностранная компания. В этом случае в сервисе Telegram обрабатываются имя пользователя и содержание переписки. Такая передача осуществляется с соблюдением статьи 12 Закона о ПДн, включая уведомление Роскомнадзора. Субъект может выбрать связь по электронной почте.

6.8. Персональные данные, обрабатываемые в разных целях, хранятся раздельно; данные, цели обработки которых несовместимы, не объединяются.

7. Уточнение, блокирование и уничтожение

7.1. Если субъект подтвердил, что его данные неполные, неточные или неактуальные, Оператор вносит изменения в течение 7 рабочих дней (часть 3 статьи 20 Закона о ПДн).

7.2. При выявлении неправомерной обработки Оператор прекращает её в течение 3 рабочих дней, а если обеспечить правомерность невозможно — уничтожает данные в течение 10 рабочих дней и уведомляет субъекта (часть 3 статьи 21 Закона о ПДн).

7.3. При достижении цели обработки или отзыве согласия Оператор прекращает обработку и уничтожает данные в течение 30 дней (части 4 и 5 статьи 21 Закона о ПДн). Требование субъекта о прекращении обработки исполняется в течение 10 рабочих дней; этот срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением субъекта (часть 5.1 статьи 21 Закона о ПДн). Если уничтожить данные в эти сроки невозможно, Оператор блокирует их и уничтожает в срок не более 6 месяцев (часть 6 статьи 21 Закона о ПДн).

7.4. Обработка может продолжаться без согласия субъекта, если для этого есть основания, предусмотренные пунктами 2–11 части 1 статьи 6 Закона о ПДн (часть 2 статьи 9 Закона о ПДн), а также в течение сроков, установленных законом или договором с субъектом.

7.5. Уничтожение подтверждается актом об уничтожении персональных данных и выгрузкой из журнала регистрации событий в информационной системе в соответствии с Требованиями, утверждёнными приказом Роскомнадзора от 28.10.2022 № 179. Эти документы хранятся 3 года.

8. Права субъектов и порядок обращения

8.1. Субъект персональных данных вправе получить сведения об обработке своих данных (часть 7 статьи 14 Закона о ПДн): подтверждение факта обработки; правовые основания и цели; способы обработки; наименование и место нахождения Оператора; лиц, которые имеют доступ к данным или которым они могут быть раскрыты; перечень обрабатываемых данных и источник их получения; сроки обработки и хранения; порядок осуществления прав; сведения о трансграничной передаче; сведения о лицах, которым поручена обработка; порядок исполнения Оператором обязанностей по статье 18.1 Закона о ПДн.

8.2. Субъект вправе требовать уточнения, блокирования или уничтожения своих данных, если они неполные, устаревшие, неточные, незаконно получены или не нужны для заявленной цели (часть 1 статьи 14 Закона о ПДн).

8.3. Субъект вправе отозвать согласие (часть 2 статьи 9 Закона о ПДн), потребовать прекращения обработки (часть 5.1 статьи 21 Закона о ПДн) и в любой момент отказаться от рекламных сообщений — в этом случае Оператор немедленно прекращает такую обработку (часть 2 статьи 15 Закона о ПДн, часть 1 статьи 18 Закона о рекламе).

8.4. Субъект вправе обжаловать действия или бездействие Оператора в Роскомнадзор или в суд (статья 17 Закона о ПДн) и требовать возмещения убытков и компенсации морального вреда (статья 24 Закона о ПДн).

8.5. Запрос направляется на адрес электронной почты privacy@goesti.agency в форме электронного документа, подписанного электронной подписью, или в письменной форме по адресу Оператора. Запрос должен содержать (часть 3 статьи 14 Закона о ПДн): номер основного документа, удостоверяющего личность субъекта или его представителя, сведения о дате его выдачи и выдавшем органе; сведения, подтверждающие участие субъекта в отношениях с Оператором (номер договора, дата заключения, иные сведения), или иные сведения, подтверждающие факт обработки данных Оператором; подпись субъекта или его представителя.

8.6. Отзыв согласия на обработку заявки и отказ от рассылок принимаются в упрощённом порядке, описанном в Согласии на обработку персональных данных и Согласии на получение рекламных и информационных сообщений.

8.7. Оператор отвечает на запрос в течение 10 рабочих дней со дня его получения. Срок может быть продлён не более чем на 5 рабочих дней с мотивированным уведомлением субъекта (часть 1 статьи 20 Закона о ПДн). Повторный запрос о тех же сведениях можно направить не ранее чем через 30 дней, кроме случаев, предусмотренных частью 5 статьи 14 Закона о ПДн.

8.8. Право субъекта на доступ к данным может быть ограничено в случаях, предусмотренных частью 8 статьи 14 Закона о ПДн.

9. Меры по обеспечению безопасности

9.1. Оператор принимает правовые, организационные и технические меры, предусмотренные статьями 18.1 и 19 Закона о ПДн:

1) утверждает локальные акты по обработке персональных данных и знакомит с ними лиц, допущенных к обработке;

2) оценивает вред, который может быть причинён субъектам, в соответствии с Требованиями, утверждёнными приказом Роскомнадзора от 27.10.2022 № 178;

3) определяет угрозы безопасности и уровень защищённости персональных данных в информационных системах (Постановление Правительства РФ от 01.11.2012 № 1119) и применяет меры защиты (приказ ФСТЭК России от 18.02.2013 № 21);

4) разграничивает доступ к данным, ведёт учёт лиц с доступом, использует стойкие пароли и двухфакторную аутентификацию;

5) шифрует передачу данных между браузером и Сайтом (протокол HTTPS), делает резервные копии, применяет антивирусную защиту и журналирование событий;

6) ведёт учёт машинных носителей персональных данных;

7) обнаруживает факты несанкционированного доступа и реагирует на них;

8) проводит внутренний контроль соответствия обработки Закону о ПДн.

9.2. При выявлении неправомерной или случайной передачи персональных данных, повлёкшей нарушение прав субъектов, Оператор уведомляет Роскомнадзор в течение 24 часов об инциденте, его предполагаемых причинах и вреде, принятых мерах и контактном лице, а в течение 72 часов — о результатах внутреннего расследования (часть 3.1 статьи 21 Закона о ПДн), а также информирует ФСБ России через государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (часть 12 статьи 19 Закона о ПДн).

9.3. Оператор уведомил Роскомнадзор о намерении осуществлять обработку персональных данных (статья 22 Закона о ПДн) и сообщает об изменении сведений не позднее 15-го числа месяца, следующего за месяцем, в котором произошли изменения (часть 7 статьи 22 Закона о ПДн).

10. Cookie и Яндекс Метрика

10.1. Сайт использует обязательные технические cookie и, только с согласия посетителя, аналитические cookie сервиса Яндекс Метрика. Состав cookie, сроки их хранения и порядок отказа описаны в Политике использования cookie.

10.2. Рекламные cookie и пиксели рекламных систем на Сайте не используются.

11. Заключительные положения

11.1. Оператор вправе изменять Политику. Новая редакция вступает в силу с даты её размещения на Сайте, если в ней не указано иное. Изменения не ухудшают положения субъектов в части обработки, проведённой до их вступления в силу.

11.2. Вопросы об обработке персональных данных направляйте на privacy@goesti.agency.

11.3. Уполномоченный орган по защите прав субъектов персональных данных — Федеральная служба по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор), https://rkn.gov.ru.